如何在共享服务器上隔离phpMyAdmin的Session目录？-phpMyAdmin-PHP中文网

共享服务器上phpmyadmin会话目录必须隔离，因共用默认session.save_path会导致session文件混写、覆盖及越权读取；攻击者可通过lfi或遍历窃取其他实例登录态，php 8.0默认不校验文件所有权且多数环境未启用session.use_strict_mode=1。

如何在共享服务器上隔离phpmyadmin的session目录？

为什么共享服务器上的 phpMyAdmin 会话目录必须隔离

多个 phpMyAdmin 实例（比如宝塔里不同站点、子目录或反代入口）若共用默认 session.save_path（如 /var/lib/php/sessions），会导致 session 文件混写、覆盖甚至越权读取。攻击者只要能上传文件或触发 LFI，就可能遍历整个 sessions 目录，窃取其他实例的登录态——这不是理论风险，PHP 8.0 默认不校验 session 文件所有权，且多数共享环境未启用 session.use_strict_mode=1。

直接改 `session.save_path` 到实例专属路径

这是最有效、无需额外服务的隔离方式。每个 phpMyAdmin 实例必须拥有自己不可被其他用户访问的 session 目录：

在对应站点的 config.inc.php 开头（session_start() 之前）插入：

ini_set('session.save_path', '/www/sessions/pma-site1'); // 路径需绝对、可写、不在 Web 根目录下

确保该路径由当前站点系统用户独占所有：chown -R www:www /www/sessions/pma-site1，权限设为 700
若用宝塔，推荐在【网站】→【设置】→【PHP 设置】→【禁用函数】下方的「配置文件」里追加 php_admin_value session.save_path "/www/sessions/pma-site1"，比 ini_set() 更早生效且无法被脚本覆盖
不要复用 /tmp 或 /var/tmp：这些是全局可写目录，PHP 会话文件一旦落在此处，其他用户可通过 glob() 或暴力扫描读取

配合 `session.name` 和 `session.cookie_path` 防止 Cookie 冲突

仅隔离存储路径不够，浏览器仍可能把 A 站点的 PHPSESSID Cookie 发给 B 站点（尤其同域名不同子路径时）：

Automated daily memory backfill for OpenClaw sessions

抓取并分析 OpenClaw JSONL 会话日志，重建并回填代理记忆文件。适用于：(1) 模型切换后记忆不完整，(2) 验证记忆覆盖度，(3) 重建丢失记忆，(4) 通过 cron/heartbeat 自动同步每日记忆。支持简单提取及基于 LLM 的叙事摘要，并自动清理敏感信息。

下载

在每个实例的 config.inc.php 中，session_start() 前添加：

session_name('PMA_SITE1');<br>session_set_cookie_params(0, '/phpmyadmin1/', '', true, true);

/phpmyadmin1/ 必须与该实例实际访问路径完全一致（如 Nginx 的 location /phpmyadmin1/），否则 Cookie 不发送
若站点用子域名（如 pma1.example.com），则 session_set_cookie_params() 第三个参数填 '.example.com'，但务必确认其他实例用不同子域名，否则仍会共享
别依赖 $cfg['blowfish_secret'] 隔离 session——它只加密 cookie 内容，不改变 session ID 生成或存储逻辑

容易被忽略的权限与启动时机问题

很多“改了 save_path 却没生效”的案例，根子在两个地方：

PHP-FPM 池配置中硬编码了 php_admin_value[session.save_path]，会覆盖 ini_set() 和 php.ini；检查 /www/server/php/80/etc/php-fpm.d/www.conf 里是否有该行，有就删或改成 per-pool 值
宝塔用户常把 session 目录建在 /www/wwwroot/ 下（如 /www/wwwroot/pma1/sessions），这等于把 session 文件放在 Web 可访问路径里，攻击者直接请求 http://pma1.example.com/sessions/sess_xxx 就能下载原始 session 数据
如果用了 OPcache，修改 config.inc.php 后要重启 PHP-FPM，否则旧字节码仍执行老路径