session_set_cookie_params()必须在session_start()前调用，lifetime为整数秒（非时间戳），且需同步调整session.gc_maxlifetime并启用secure/httponly。
session_set_cookie_params() 必须在 session_start() 前调用
PHP 8.2 中会话 Cookie 的过期时间不能靠 setcookie() 单独设置，必须用 session_set_cookie_params() 配置，且该函数必须在 session_start() 之前执行——否则参数被忽略，会话仍为浏览器会话 Cookie（关闭即失效）。
常见错误现象：代码里先写了 session_start()，再调用 session_set_cookie_params()，结果 $_SESSION 数据能存，但 Cookie 没有 Expires 字段，用户关浏览器就登出。
- 正确顺序：
session_set_cookie_params(['lifetime' => 1800, 'path' => '/', 'secure' => true, 'httponly' => true]);→session_start(); -
lifetime是整数秒（不是时间戳），比如 30 分钟 =1800，1 小时 =3600 - 若使用数组形式传参（PHP 7.3+），
lifetime键名不能写成expires或max-age，否则无效
ini_set('session.gc_maxlifetime') 影响服务端清理
客户端 Cookie 过期只是“不发给服务器”，真正决定会话数据何时从服务端删除的是 session.gc_maxlifetime。PHP 8.2 默认值是 1440（24 分钟），若你设了 Cookie 有效期为 2 小时，但没改这个值，服务端可能在 24 分钟后就删掉 session 文件，导致用户提前登出。
- 必须同步调整：
ini_set('session.gc_maxlifetime', 7200);（单位：秒） - 该设置需在
session_start()前生效；若用 php.ini 配置，重启 PHP-FPM 才生效 - 注意：GC 触发概率由
session.gc_probability和session.gc_divisor控制，不是定时任务，所以实际清理可能延迟
手动校验 $_SESSION 最后活跃时间更可靠
仅靠 Cookie 和 GC 设置无法应对“用户长时间不操作但没关浏览器”的场景。PHP 8.2 下推荐在每次请求时检查 $_SESSION['last_activity']，超时则销毁会话。
- 启动会话后立即更新：
$_SESSION['last_activity'] = time(); - 判断逻辑示例：
if (isset($_SESSION['last_activity']) && (time() - $_SESSION['last_activity'] > 1800)) { session_unset(); session_destroy(); } - 不要只依赖
session.cookie_lifetime，因为客户端时间可被篡改，服务端时间才是唯一可信依据 - 若用 Redis 存储 session，记得确保 Redis 的
maxmemory-policy不会因 LRU 提前淘汰活跃会话
HTTPS 环境下 secure 和 httponly 必须显式开启
PHP 8.2 对安全策略更严格，未显式声明 secure 和 httponly 时，即使跑在 HTTPS 上，Cookie 也可能不带 Secure 标志，导致中间人劫持风险。
- 错误写法：
session_set_cookie_params(1800);—— 缺少选项，secure默认为 false - 正确写法（数组形式）：
session_set_cookie_params(['lifetime' => 1800, 'path' => '/', 'domain' => '', 'secure' => true, 'httponly' => true, 'samesite' => 'Lax']); -
samesite推荐设为Lax或Strict，防止 CSRF；PHP 8.2 支持该键，但旧版浏览器可能忽略 - 若部署在反向代理后（如 Nginx），需确认
$_SERVER['HTTPS']是否正确，否则secure设为 true 可能导致 Cookie 不被发送
会话超时不是单点配置问题，而是客户端 Cookie、服务端 GC、应用层活跃检测三者必须对齐。最容易被忽略的是 gc_maxlifetime 与 Cookie lifetime 不一致，以及 session_set_cookie_params() 调用时机错误——这两个点一错，所有后续逻辑都白搭。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
