php操作session必须先调用session_start()且不能有任何输出，写入直接赋值$_SESSION，读取用isset()判断，销毁需先清空数组再session_destroy；安全配置须在session_start()前调用session_set_cookie_params()并设置secure、httponly、samesite。
PHP 中操作 session 的核心前提是必须在输出任何内容前调用 session_start()，否则会触发「Headers already sent」错误。
如何正确开启和写入 session
开启 session 是所有操作的前提，且只能调用一次；写入时直接给 $_SESSION 数组赋值即可。
-
session_start()必须放在脚本最开头（或至少在任何echo、print、html 输出之前） - 写入 session：直接赋值，如
$_SESSION['user_id'] = 123;，无需额外函数 - PHP 会自动在脚本结束时保存 session 数据（除非手动调用
session_write_close()） - 若使用自定义 session 处理器（如 redis），需提前配置
session.save_handler和session.save_path
读取、判断和销毁 session 的常见写法
读取靠 $_SESSION 全局数组，判断是否存在推荐用 isset() 而非 empty()（避免把 0 或 false 误判为未设置）。
- 读取：
echo $_SESSION['username'] ?? 'guest';（PHP 7+ 空合并操作符更安全） - 判断是否已登录：
if (isset($_SESSION['user_id'])) { ... } - 删除某个 key：
unset($_SESSION['Token']); - 彻底销毁整个 session：
$_SESSION = [];+session_destroy();（注意：后者不清理 $_SESSION 数组，必须先清空或重置）
为什么 setcookie() 和 session_set_cookie_params() 容易出错
PHP 默认用 cookie 传递 session ID，但 cookie 设置时机和参数直接影响 session 是否能持续跟踪用户。
立即学习“PHP免费学习笔记（深入）”；
-
session_set_cookie_params()必须在session_start()之前调用，否则无效 - 常见疏漏：未设置
secure（https 环境下 cookie 缺失Secure标志）、httponly（导致 js 可读 session id）、samesite（现代浏览器默认 stricter，可能阻断跨站请求中的 session） - 示例安全配置：
session_set_cookie_params(['lifetime' => 0, 'path' => '/', 'domain' => '', 'secure' => true, 'httponly' => true, 'samesite' => 'Lax']); - 若禁用 cookie，可改用 URL 传参（
session.use_cookies=0+session.use_only_cookies=0），但不推荐——易泄露、不安全
session 在 CLI 或并发请求中表现异常的原因
CLI 模式下默认不启用 session（无 HTTP 上下文），而高并发时若多个请求同时写同一 session 文件，可能造成覆盖或阻塞。
- CLI 脚本中要使用 session，需手动调用
session_start()并确保session.save_handler支持 CLI（如 files handler 在某些系统上受限） - 默认
fileshandler 会对 session 文件加锁，导致后续请求阻塞直到前一个session_write_close()被调用 - 解决办法：尽早调用
session_write_close()释放锁（尤其在耗时操作前），或换用无锁存储如 redis - 检查当前 handler：
var_dump(ini_get('session.save_handler'));
session 不是万能的共享状态方案，它的生命周期、存储位置、锁机制和传输方式都得结合部署环境仔细核对；尤其是从开发切到生产时，session.cookie_secure、session.cookie_samesite 和反向代理头（如 X-Forwarded-Proto）处理不到位，最容易导致“本地好好的，线上登不上”。