php session过期时间需服务端gc_maxlifetime与客户端cookie_lifetime协同控制：一、改php.ini并重启服务；二、运行时ini_set()配合session_start()；三、手动记录last_activity时间戳校验；四、注意gc非实时，https需启用secure/httponly。
PHP session 的过期时间不是靠单个配置项直接“设置有效期多少分钟”来控制的，而是由多个参数协同决定的。真正起作用的是 session 的生命周期（服务端） 和 客户端 Cookie 的有效期（可选） 两部分。下面给出完整、可靠、可落地的设置方法。
一、修改 php.ini 中的全局 session 配置（推荐长期生效）
这是最稳妥的方式，适用于所有 PHP 脚本。编辑你的 php.ini 文件，调整以下三项：
- session.gc_maxlifetime：服务端 session 数据文件保留的秒数（如设为 1800，即 30 分钟）
- session.cookie_lifetime：客户端 session cookie 的存活秒数（设为 0 表示浏览器关闭即失效；设为 1800 则 30 分钟后自动过期）
- session.cookie_path 和 session.cookie_domain：确保 Cookie 在正确路径和域名下发送（避免因路径不匹配导致重复登录）
修改后必须重启 Web 服务器（如 Apache 或 PHP-FPM）才能生效。
二、运行时用 ini_set() 动态设置（适合单脚本或环境受限场景）
在调用 session_start() 之前设置，注意顺序不能颠倒：
<?php // 设置服务端 session 有效期为 20 分钟（1200 秒）
ini_set('session.gc_maxlifetime', 1200);
<p>// 设置客户端 Cookie 有效期为 20 分钟（0 表示随浏览器关闭失效）
ini_set('session.cookie_lifetime', 1200);<p>// 可选：确保 Cookie 覆盖整个站点路径
ini_set('session.cookie_path', '/');</p><p>// 必须在 session_start() 前调用
session_start();</p><p>// 此时 $_SESSION 已可用
$_SESSION['user_id'] = 123;
?></p>
三、手动维护 session 时间戳（精准控制用户活跃会话）
仅靠 gc_maxlifetime 不足以实现“用户 30 分钟无操作则登出”，需结合时间戳判断：
<?php session_start();
<p>// 检查是否已有最后活动时间
if (!isset($_SESSION['last_activity'])) {
$_SESSION['last_activity'] = time();
}<p>// 设定空闲超时为 30 分钟（1800 秒）
$timeout_duration = 1800;</p><p>// 判断是否超时
if (time() - $_SESSION['last_activity'] > $timeout_duration) {
session_unset();
session_destroy();
header('Location: login.php');
exit;
}</p><p>// 更新最后活动时间
$_SESSION['last_activity'] = time();
?></p>
把这段逻辑放在每个需要鉴权的页面头部即可，它不依赖 GC 回收，实时性强。
四、补充说明与常见误区
- 不要只改
session.cookie_lifetime：它只影响 Cookie 过期，若服务端文件还存在，用户仍可能凭旧 Session ID 继续访问 - GC 回收不是定时任务：PHP 的垃圾回收由概率触发（
session.gc_probability / session.gc_divisor），不能保证精确清理，因此主动时间戳校验更可靠 - 使用 Redis 或 Memcached 存储 session 时，
gc_maxlifetime依然有效（驱动会据此设置 TTL） - HTTPS 环境下建议加上：
ini_set('session.cookie_secure', 1); ini_set('session.cookie_httponly', 1);提高安全性
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
