php session默认不安全，必须在session_start()前手动配置cookie_httponly、cookie_secure、use_only_cookies等参数，并在登录后立即调用session_regenerate_id(true)，否则易遭会话劫持或固定攻击。
PHP session 默认不安全，不加干预就上线等于把钥匙挂在门把手上。 会话劫持（Session Hijacking）和会话固定（Session Fixation）不是理论风险——只要没配对 session.cookie_httponly、session.cookie_secure、session.use_only_cookies，也没在登录后调用 session_regenerate_id(true)，攻击者就能通过 XSS、HTTP 明文传输或 URL 拼接 SID 等方式直接接管用户会话。
为什么 session_start() 启动后仍可能被劫持
PHP 的 session_start() 只负责加载/创建会话，它完全不管 Cookie 安全属性、传输方式或 ID 固定问题。所有防护都得你手动塞在 session_start() 之前，否则：
- 浏览器可能把
PHPSESSID通过 HTTP 发送（明文泄露） - JavaScript 能读取
document.cookie直接拿到 SID（XSS 一击即中） - URL 自动补上
?PHPSESSID=xxx（session.use_trans_sid=1开着时） - 用户登录前的 SID 被复用（会话固定攻击成立）
必须在 session_start() 前设置的 ini 配置
这些设置无效于已启动的会话，顺序错了就等于没设：
-
ini_set('session.cookie_httponly', '1')：禁用 JS 访问 Cookie，防 XSS 窃取 -
ini_set('session.cookie_secure', '1')：仅 HTTPS 下发送 Cookie；开发环境没配 HTTPS 就别开，否则 Cookie 不发、登录必失败 -
ini_set('session.use_only_cookies', '1')：强制只走 Cookie，拒绝 URL fallback -
ini_set('session.use_trans_sid', '0')：彻底关闭 URL 拼接 SID，避免日志/Referer 泄露 -
ini_set('session.use_strict_mode', '1')：拒绝未注册的 SID（防预测或重放）
建议统一放在入口文件（如 index.php 或 ThinkPHP 的 app/common.php）顶部，在任何输出和 session_start() 之前执行。
登录成功后必须立即执行 session_regenerate_id(true)
这不是“可选优化”，是防御会话固定的硬性步骤。漏掉或写错参数，等于白做：
- 必须在写入用户身份数据（如
$_SESSION['uid']）之前调用 - 必须传
true参数：session_regenerate_id(true)—— 否则旧会话文件不删，攻击者仍可用原 ID 重放 - 别用
Session::clear()或unset($_SESSION)替代，它们不换 ID - ThinkPHP 用户注意：它的
Session::init()内部调用session_start()，但不帮你设 ini，也不自动轮换 ID
额外加固点：存储路径与生命周期控制
会话数据本身也得防住本地泄露和长期滞留：
-
session.save_path必须设为 Web 根目录之外的路径（如/var/opt/myapp/sessions），并确保该目录权限为700，禁止其他用户读取 -
session.gc_maxlifetime设为合理值（如1800表示 30 分钟），避免过期会话堆积 - 生产环境禁用
session.save_handler=files，改用redis或数据库：既提升并发性能，又规避文件系统权限失控风险 - 若用 Redis，配置要带密码和超时：
ini_set('session.save_path', 'tcp://127.0.0.1:6379?auth=yourpass&database=2&prefix=phpsess:')
真正容易被忽略的是：所有 ini 设置必须在 session_start() 之前，且 session_regenerate_id(true) 必须在认证通过后的第一行业务逻辑里执行——中间插一句 echo 或 error_log() 都可能导致失败。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
