ThinkPHP Session 安全需显式启用 HttpOnly 和 Secure 标志，推荐在应用启动早期用 ini_set() 设置，并同步配置 config/session.php；反向代理下需处理 HTTPS 识别；登录后必须调用 session_regenerate_id(true) 防会话固定。
ThinkPHP 的 Session 安全配置中，HttpOnly 和 Secure 标志必须显式开启，框架不会自动启用——哪怕你已部署 HTTPS，PHPSESSID 仍可能明文传输或被 XSS 脚本读取。
在应用初始化阶段设置 session.cookie 参数
最可靠的方式是在应用启动早期（如 app/common.php 或 app/middleware.php 开头）用 ini_set() 强制设置：
-
ini_set('session.cookie_httponly', '1');—— 阻止 JavaScript 访问document.cookie中的 PHPSESSID -
ini_set('session.cookie_secure', '1');—— 确保 Cookie 仅通过 HTTPS 发送（注意：开发环境无 HTTPS 时此设置会导致登录失败） - 配套建议：
ini_set('session.use_only_cookies', '1');关闭 GET/POST 传参方式，杜绝会话 ID 泄露 - 可选加固：
ini_set('session.use_strict_mode', '1');拒绝未知或伪造的会话 ID 初始化请求
ThinkPHP 6 的 config/session.php 配置补充
虽然 ini_set 是底层生效最快的方式，但建议同步在 config/session.php 中声明对应参数，保持配置一致性：
Browser Session Manager
下载
使用 Playwright 为 jimeng.jianying.com 管理浏览器会话，导入 cookies/localStorage 以自动化视频生成工作流，支持图片上传等功能
-
'secure' => true,—— 显式启用 Secure 标志 -
'httponly' => true,—— 显式启用 HttpOnly 标志 -
'samesite' => 'Lax',—— 推荐设为Lax，兼顾 CSRF 防护与跨站跳转兼容性 - 若需子域共享 Session，记得配
'domain' => '.yourdomain.com'（注意开头的点号）
反向代理环境下必须处理协议识别问题
常见现象：Nginx 终止 HTTPS 后以 HTTP 转发给 PHP，导致 session.cookie_secure 失效（浏览器不带 Secure 标志）。解决方法有两种：
- 在
public/index.php开头强制声明 HTTPS：if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') {<br> $_SERVER['HTTPS'] = 'on';<br>} - 或直接在
config/session.php中写死'secure' => true，不依赖运行时检测
登录后务必重置 Session ID 防固定攻击
仅设 Secure/HttpOnly 不足以防御会话固定（Session Fixation）。用户成功登录后，必须立即轮换会话 ID：
- 在认证逻辑完成、写入用户关键信息（如
user_id）后、任何响应输出前调用：session_regenerate_id(true);（true表示删除旧会话文件） - 避免使用
session_destroy() + session_start()组合，它不保证新旧 ID 完全无关 - 该操作必须在
redirect()或 JSON 返回之前执行，否则 headers 已发送会报错
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
