ThinkPHP 应修改 session_name 防冲突，须在 session 启动前设置，如 TP6 在 middleware.php 开头调用 session_name('tp6_appname_sid')；还需限定 cookie_path、隔离 save_path、禁用 trans_sid 并强制仅用 cookie；推荐改用带 prefix 的 Redis 存储。

ThinkPHP 默认使用 PHP 原生的 PHPSESSID 作为 session 名称，这在共享主机环境下存在风险：同一服务器上多个站点若未隔离 session 名，可能因共用默认名和存储路径（如 /tmp）导致会话数据被意外读取或覆盖。

修改 session_name 防止命名冲突

必须在 session 启动前（即任何 session_start() 或 ThinkPHP 的 Session::init() 调用之前）调用 session_name()。推荐在应用初始化入口处统一设置：

• TP6：在 app/middleware.php 文件最开头（return 之前）加入：
  session_name('tp6_appname_sid');
• TP5.1：在 public/index.php 中 require '../thinkphp/start.php' 之前添加：
  session_name('tp5_appname_sid');
• 名称建议含项目标识、不含特殊字符、长度适中（如 8–16 位），避免使用 PHPSESSID 或通用词（如 sid、session）

配合修改 session.cookie_path 和 session.save_path

仅改 name 不够，还需限制作用域与存储位置：

Remix V2 Meta Sessions Review

审查 Remix v2 代码中的 v1 形态 meta 导出（v2 中为破坏性变更），cookie 安全漏洞（httpOnly、secure、密钥轮换），认证门位于错误层级，以及其他

下载

• 限定 Cookie 路径：防止同域名下其他子应用读取，例如：
  ini_set('session.cookie_path', '/');（默认）可改为 '/app1/'（确保所有请求路径匹配）
• 隔离存储目录：避免共享主机 tmp 目录混用，例如：
  ini_set('session.save_path', '/home/youruser/sessions');
  需确保该目录存在、Web 进程有读写权限，且不被 Web 直接访问（建议放在 public 外）

增强防护：禁用 session.use_trans_sid 并强制仅用 Cookie

防止会话 ID 泄露到 URL，降低被日志或代理捕获的风险：

• ini_set('session.use_trans_sid', '0');
• ini_set('session.use_only_cookies', '1');
• 这两项必须在 session_name() 之后、session_start() 之前执行，否则无效

更彻底的方案：改用 Redis 存储并加 key 前缀

当共享主机支持 Redis 时，这是比文件存储更安全的选择：

• 在 config/session.php 中配置：
  

  'type' => 'redis',<br>'prefix' => 'tp6_app1_session_',

• Redis key 前缀确保不同应用的数据物理隔离，即使共用一个 Redis DB 也不会互相干扰
• 同时仍需保留自定义 session_name，因为 cookie 名与存储 key 是两个独立维度

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！