PHP项目怎么处理Session和Cookie？

wen java案例 2026-07-24 154

本文目录导读：

核心概念与区别
Cookie 处理
Session 处理
登录状态管理实战
安全最佳实践
性能优化
框架推荐
总结建议

在PHP项目中处理Session和Cookie是Web开发的基础，它们都用于在无状态的HTTP协议中维护用户状态，下面我会系统地介绍它们的概念、使用方法、安全实践以及常见项目中的最佳实践。

核心概念与区别

特性	Cookie	Session
存储位置	客户端（浏览器）	服务器端（文件、数据库、内存等）
数据容量	有限（通常4KB）	较大（取决于存储介质）
安全性	较低（易被篡改/窃取）	较高（数据在服务端）
生命周期	可设置过期时间	默认浏览器会话结束销毁
性能影响	无（但每次请求携带）	需要服务端存储和查询

典型协作流程：Session ID 通常通过 Cookie 传递，服务端根据 Session ID 查找对应的 Session 数据。

Cookie 处理

设置 Cookie

<?php
// 基本语法
setcookie(string $name, string $value = "", int $expires_or_options = 0, 
          string $path = "", string $domain = "", bool $secure = false, 
          bool $httponly = false): bool
// 示例：7天后过期
setcookie("username", "张三", time() + 7 * 24 * 3600, "/", "", false, true);
// PHP 7.3+ 推荐使用数组参数（更清晰）
setcookie("theme", "dark", [
    'expires' => time() + 86400,
    'path' => '/',
    'domain' => '.example.com',
    'secure' => true,     // 仅HTTPS
    'httponly' => true,   // 禁止JavaScript访问
    'samesite' => 'Lax'   // CSRF防护
]);
?>

读取 Cookie

<?php
// $_COOKIE 自动包含所有当前请求携带的Cookie
if (isset($_COOKIE['username'])) {
    echo "欢迎回来，" . htmlspecialchars($_COOKIE['username']);
} else {
    echo "你好，新访客";
}
?>

删除 Cookie

<?php
// 方式一：设置过期时间为过去
setcookie("username", "", time() - 3600, "/");
// 方式二：设置过期时间为0（立即过期）
setcookie("username", "", 0, "/");
?>

Cookie 安全设置

// 完整的Cookie安全配置（PHP 7.3+）
setcookie('session_token', $token, [
    'expires' => time() + 3600,
    'path' => '/',
    'domain' => 'yourdomain.com',
    'secure' => true,      // 仅HTTPS传输
    'httponly' => true,    // 防XSS获取
    'samesite' => 'Strict' // 防CSRF（可选Strict/Lax）
]);

Session 处理

基本使用流程

<?php
// 1. 在所有输出之前启动Session
session_start();
// 2. 存储Session数据
$_SESSION['user_id'] = 123;
$_SESSION['username'] = 'admin';
$_SESSION['login_time'] = time();
// 3. 读取Session数据
if (isset($_SESSION['user_id'])) {
    echo "用户ID: " . $_SESSION['user_id'];
}
// 4. 删除单个Session变量
unset($_SESSION['username']);
// 5. 销毁整个Session
session_destroy(); // 清除服务器数据
setcookie(session_name(), '', time() - 3600, '/'); // 清除客户端Cookie
?>

Session 配置优化（php.ini 或运行时设置）

// 在代码中动态设置（需在 session_start() 之前）
ini_set('session.gc_maxlifetime', 3600);      // Session过期时间（秒）
ini_set('session.cookie_lifetime', 0);         // Session Cookie存活期（0=浏览器关闭）
ini_set('session.use_strict_mode', 1);         // 仅接受服务端生成的Session ID
ini_set('session.use_only_cookies', 1);        // 禁止URL传递Session ID
ini_set('session.cookie_secure', 1);           // 仅HTTPS
ini_set('session.cookie_httponly', 1);         // 防XSS
ini_set('session.cookie_samesite', 'Lax');     // CSRF防护
ini_set('session.sid_length', 128);            // Session ID长度（增强安全）
ini_set('session.sid_bits_per_character', 6);  // 高熵值字符集

推荐 php.ini 配置：

session.gc_maxlifetime = 1440
session.cookie_lifetime = 0
session.use_strict_mode = 1
session.use_only_cookies = 1
session.cookie_secure = 1
session.cookie_httponly = 1
session.cookie_samesite = "Lax"
session.sid_length = 128
session.sid_bits_per_character = 6
session.save_handler = files
session.save_path = "/tmp/secure_sessions"

Session 存储方案

文件存储（默认）：

// 自定义Session存储路径（避免被扫描）
session_save_path('/path/to/secure/sessions');
session_start();

数据库存储（适合分布式）：

// 使用session_set_save_handler()实现
class DbSessionHandler implements SessionHandlerInterface {
    private $db;
    public function open($savePath, $sessionName): bool {
        $this->db = new PDO('mysql:host=localhost;dbname=sessions', 'user', 'pass');
        return $this->db !== null;
    }
    public function read($sessionId): string {
        $stmt = $this->db->prepare("SELECT data FROM sessions WHERE id = ?");
        $stmt->execute([$sessionId]);
        return $stmt->fetchColumn() ?: '';
    }
    public function write($sessionId, $data): bool {
        $stmt = $this->db->prepare(
            "INSERT INTO sessions (id, data, last_accessed) 
             VALUES (?, ?, NOW()) 
             ON DUPLICATE KEY UPDATE data = ?, last_accessed = NOW()"
        );
        return $stmt->execute([$sessionId, $data, $data]);
    }
    public function destroy($sessionId): bool {
        $stmt = $this->db->prepare("DELETE FROM sessions WHERE id = ?");
        return $stmt->execute([$sessionId]);
    }
    public function gc($maxLifetime): bool {
        $stmt = $this->db->prepare(
            "DELETE FROM sessions WHERE last_accessed < DATE_SUB(NOW(), INTERVAL ? SECOND)"
        );
        return $stmt->execute([$maxLifetime]);
    }
    public function close(): bool {
        $this->db = null;
        return true;
    }
}
// 注册自定义处理器
session_set_save_handler(new DbSessionHandler(), true);
session_start();

Redis 存储（高性能推荐）：

// 使用SessionHandlerInterface + Redis
class RedisSessionHandler implements SessionHandlerInterface {
    private $redis;
    private $ttl = 3600;
    public function open($savePath, $sessionName): bool {
        $this->redis = new Redis();
        $this->redis->connect('127.0.0.1', 6379);
        return true;
    }
    public function read($sessionId): string {
        return $this->redis->get("session:$sessionId") ?: '';
    }
    public function write($sessionId, $data): bool {
        return $this->redis->setex("session:$sessionId", $this->ttl, $data);
    }
    public function destroy($sessionId): bool {
        return $this->redis->del("session:$sessionId") > 0;
    }
    public function gc($maxLifetime): bool {
        // Redis TTL自动处理过期，无需额外操作
        return true;
    }
    public function close(): bool {
        $this->redis->close();
        return true;
    }
}
session_set_save_handler(new RedisSessionHandler(), true);
session_start();

登录状态管理实战

完整登录示例

<?php
// config.php - Session配置
ini_set('session.gc_maxlifetime', 7200); // 2小时
ini_set('session.cookie_lifetime', 0);
session_set_cookie_params([
    'lifetime' => 0,
    'path' => '/',
    'domain' => '',
    'secure' => true,
    'httponly' => true,
    'samesite' => 'Lax'
]);
session_start();
// login.php - 登录处理
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $username = $_POST['username'] ?? '';
    $password = $_POST['password'] ?? '';
    // 验证用户（实际应从数据库）
    if ($username === 'admin' && password_verify($password, $hashedPassword)) {
        // 生成新Session ID防止Session固定攻击
        session_regenerate_id(true);
        // 存储登录信息（不存敏感密码）
        $_SESSION['user'] = [
            'id' => 1,
            'username' => $username,
            'role' => 'admin',
            'ip' => $_SERVER['REMOTE_ADDR'],
            'user_agent' => $_SERVER['HTTP_USER_AGENT'],
            'login_time' => time()
        ];
        header('Location: /dashboard');
        exit;
    }
}
// auth_check.php - 身份验证中间件
function requireAuth(): void {
    if (!isset($_SESSION['user'])) {
        header('Location: /login');
        exit;
    }
    // 可选：验证IP和User-Agent（防止Session劫持）
    $user = $_SESSION['user'];
    if ($user['ip'] !== $_SERVER['REMOTE_ADDR'] || 
        $user['user_agent'] !== $_SERVER['HTTP_USER_AGENT']) {
        session_destroy();
        header('Location: /login?error=session_hijack');
        exit;
    }
}
// logout.php - 注销
function logout(): void {
    $_SESSION = [];
    $params = session_get_cookie_params();
    setcookie(session_name(), '', time() - 42000,
        $params['path'], $params['domain'],
        $params['secure'], $params['httponly']
    );
    session_destroy();
    header('Location: /login');
    exit;
}
// dashboard.php - 受保护页面
require_once 'auth_check.php';
requireAuth();
echo "欢迎, " . htmlspecialchars($_SESSION['user']['username']);
?>

安全最佳实践

Session 安全

使用 session_regenerate_id()：登录成功后、权限提升时重新生成Session ID
限制Session存活时间：设置合理的 gc_maxlifetime
绑定用户特征：IP、User-Agent（注意动态IP可能误伤）
HTTPS 传输：设置 cookie_secure
HttpOnly 和 SameSite：防止XSS和CSRF
避免URL传递Session ID：use_only_cookies=1

Cookie 安全

敏感数据不存Cookie：仅存储Session ID或非敏感标识
签名/加密：如需存储数据，使用Hash或JWT
有效期控制：必要的Cookie设置合理过期时间
Domain和Path限制：只允许特定路径/域名访问

常见攻击防护

// 防止Session固定攻击
session_regenerate_id(true);
// 防止XSS窃取Cookie
setcookie('PHPSESSID', '', 0, '/', '', true, true);
// 防止CSRF（结合Token）
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
// 表单中嵌入：<input type="hidden" name="csrf_token" value="<?= $_SESSION['csrf_token'] ?>">
// 防止暴力破解（结合Rate Limiting）
if ($_SESSION['login_attempts'] > 5) {
    // 锁定账户或延迟响应
    sleep(2);
}

性能优化

Session 存储选择

场景	推荐方案
单台服务器	文件存储（默认）
小型多服务器	共享NFS/文件系统
中大型项目	Redis（高速）
高性能+持久化	Memcached

减少Session读写

// 只在必要时开启Session
if (strpos($_SERVER['REQUEST_URI'], '/api/public') === 0) {
    // API公共接口不需要Session
} else {
    session_start();
}
// 写入后立即关闭（减少锁竞争）
session_start();
// 读取数据...
if (需要修改) {
    $_SESSION['data'] = $newValue;
}
session_write_close(); // 尽早释放锁
// 后续代码无法修改Session

使用PHP原生Session锁

// 默认情况下，session_start()会锁定文件
// 解决方法：
session_start();
$_SESSION['last_access'] = time();
session_write_close(); // 立即解锁
// 之后可以处理耗时操作

框架推荐

在实际项目中,建议使用成熟框架处理Session和Cookie：

Laravel：通过 Session facade 和 Cookie facade 管理
Symfony：使用 SessionInterface 和 Cookie 对象
ThinkPHP：内置 Session 类和 Cookie 类

Laravel 的 Session 配置：

// config/session.php
'driver' => env('SESSION_DRIVER', 'file'),  // file, cookie, database, redis, array
'lifetime' => 120,
'expire_on_close' => true,
'encrypt' => true,      // 数据加密
'secure' => true,       // HTTPS
'http_only' => true,
'same_site' => 'lax',