会话管理通过session_start()启动，使用$_SESSION操作数据，配合安全配置如httponly、secure cookie及session.regenerate_id()防止劫持与固定攻击，并可自定义处理器提升性能。
PHP会话管理是Web开发中实现用户状态保持的核心机制。通过会话（Session），服务器可以识别不同用户，维持登录状态、购物车数据等关键信息。正确使用会话控制函数并配置安全设置，能有效防止会话劫持、固定攻击等安全风险。
会话启动与基本操作
在使用会话前必须调用 session_start() 函数，它将检查是否存在当前用户的会话ID，若无则创建一个新会话。
常见操作包括：- 设置会话变量：使用 $_SESSION['key'] = value 的方式存储数据
- 读取会话数据：直接访问 $_SESSION 数组中的键值
- 删除单个会话项：unset($_SESSION['key'])
- 销毁整个会话：调用 session_destroy() 清除所有会话数据
注意：session_destroy() 不会立即清除 $_SESSION 超全局变量，需配合 unset($_SESSION) 使用才能完全清理。
会话配置与安全性设置
通过修改 php.ini 或运行时调用 ini_set() 可增强会话安全性。
立即学习“PHP免费学习笔记（深入）”；
- session.cookie_httponly：设为1可防止JavaScript访问会话cookie，降低XSS攻击风险
- session.cookie_secure：仅在HTTPS连接下传输会话cookie，避免明文暴露
- session.use_strict_mode：启用后阻止未初始化的会话ID被接受，防范会话固定攻击
- session.sid_length 和 session.sid_bits_per_character：建议设置足够长的会话ID（如256位）以增加暴力破解难度
防止会话劫持与固定攻击
攻击者可能通过网络监听或跨站脚本获取会话ID。为减少此类风险：
- 用户登录成功后应调用 session_regenerate_id(true) 更换会话ID，同时删除旧会话文件
- 限制会话生命周期，设置 session.gc_maxlifetime 合理值（如30分钟）
- 结合IP地址或User-Agent进行辅助验证（注意移动设备切换网络可能导致变化）
- 避免将会话ID暴露在URL中，关闭 session.use_trans_sid
自定义会话处理器
默认会话存储在文件系统中，高并发场景下可改用数据库或Redis提升性能和可扩展性。
通过 session_set_save_handler() 注册自定义的打开、读取、写入、关闭、垃圾回收和销毁函数，实现集中化会话管理。
现代框架通常封装了该功能，例如 Laravel 使用 Redis 或数据库驱动会话存储。基本上就这些。合理配置会话参数、及时更新会话ID、启用安全标志，并结合应用层验证逻辑，才能构建可靠的用户状态管理体系。
