php会话默认不隔离，需主动划分作用域：用session_name()配合session_set_cookie_params()实现cookie级隔离；用session_id()手动控制id实现同一请求内多会话逻辑隔离；或通过子域名/独立域名实现物理隔离。
PHP会话默认不隔离，session_start() 会全局共享会话数据
PHP 的 session_start() 默认基于 PHPSESSID Cookie 和服务端存储（如文件），同一域名下所有脚本只要 session ID 相同，就共享同一个会话数组 $_SESSION。这不是“隔离失效”，而是设计如此——它本就不提供天然的会话隔离能力。
所谓“会话隔离”，本质是让不同上下文（如多租户、后台与前台、API 与 Web 页面）互不干扰地使用会话。你需要主动划分作用域，而不是依赖 PHP 默认行为。
用 session_name() + 独立 session_set_cookie_params() 切分会话 Cookie
关键在于让不同模块使用不同的会话名和 Cookie 路径/域名，从而避免浏览器自动发送错误的会话 ID。
-
session_name('admin')必须在session_start()前调用，且每个隔离场景需唯一名称（如'frontend'、'api_v2'） - 配合
session_set_cookie_params(['path' => '/admin/', 'domain' => 'example.com'])限定 Cookie 作用域，防止跨路径泄漏 - 不同
session_name()对应独立的$_SESSION数组，彼此完全不重叠 - 注意：若未显式调用
session_set_cookie_params()，新会话 Cookie 会继承上一个的 path/domain，极易踩坑
用 session_id() 手动指定会话 ID 实现逻辑隔离
当需要在同一请求中并行管理多个会话（例如后台用户登录后临时以客户身份查单），不能靠 session_name() —— 因为它只影响 Cookie 名，而会话存储仍可能冲突。此时需手动控制 ID：
- 先保存当前会话 ID：
$old_id = session_id(); - 关闭当前会话：
session_write_close();（否则后续session_id()设置无效） - 设置新 ID 并启动：
session_id('cust_12345'); session_start(); - 操作完记得恢复：
session_write_close(); session_id($old_id); session_start(); - 注意：手动 ID 需确保唯一性与安全性，不要用可预测字符串；若用 Redis 存储，还需确认 key 命名空间是否支持多 ID 共存
用子域名或独立域名物理隔离最可靠
如果业务允许（如 app.example.com 和 admin.example.com），直接利用浏览器 Cookie 的 domain 机制是最彻底的隔离方式：
- 设置
session_set_cookie_params(['domain' => '.app.example.com'])和['domain' => '.admin.example.com']，两者 Cookie 完全不互通 - 无需改代码逻辑，不依赖 PHP 层面的 session 名或 ID 控制
- 缺点是部署要求更高，且无法用于 localhost 多端口测试（
localhost:8080和localhost:8000无法用 domain 隔离） - 开发时可用
127.0.0.1.app.test这类 hosts 映射绕过限制
会话隔离真正的复杂点不在函数调用顺序，而在于你是否清晰定义了“谁不该看到谁的数据”——是不同用户？不同系统模块？还是同一用户的不同角色视图？没想清楚边界，光套用 session_name() 只会掩盖问题。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
