PHP 8.2.16自定义Session Handler未生效问题求助

一、自定义会话处理器未生效的核心原因 #

1. PHP-FPM配置强制覆盖会话处理器 #

你的PHP-FPM池配置中设置了：

php_admin_value[session.save_handler] = files

php_admin_value定义的参数无法被PHP脚本覆盖，这意味着即使调用session_set_save_handler注册自定义处理器，PHP依然会使用文件存储会话。

修复：
修改FPM配置，将该行改为：

php_admin_value[session.save_handler] = user

或直接注释掉该行，让脚本可自定义处理器。修改后需重启PHP-FPM服务。

2. 自定义SessionHandler代码的致命问题 #

(1) SQL逻辑错误导致处理器失效

• read方法时间判断逻辑反转：
  原代码中last_access_timestamp > '".date('Y-m-d H:i:s')."'只会读取未来时间的会话，正常应判断会话未过期，改为：

  $expireTime = date('Y-m-d H:i:s', time() - $maxlifetime);
  $result = mysqli_query($this->link, "SELECT `data` FROM system__sessions WHERE system__sessions_id = '". $id ."' AND last_access_timestamp > '". $expireTime ."'");
  

  （注：后续需替换为预处理语句，避免注入）

• gc方法垃圾回收逻辑错误：
  原代码(UNIX_TIMESTAMP(last_access_timestamp) + ". $maxlifetime .") < ". $maxlifetime)等价于UNIX_TIMESTAMP(last_access_timestamp) < 0，永远不会执行删除。正确逻辑：

  $expireTime = time() - $maxlifetime;
  $result = mysqli_query($this->link, "DELETE FROM system__sessions WHERE UNIX_TIMESTAMP(last_access_timestamp) < ". $expireTime);
  

(2) 未处理数据库连接错误

若mysqli_connect失败，open方法返回false，PHP会自动 fallback 到文件存储。需添加错误日志排查：

public function open($savePath, $sessionName): bool
{
    $this->link = mysqli_connect('host', 'user', 'pass', 'db');
    if (!$this->link) {
        error_log('Session DB Connect Error: ' . mysqli_connect_error());
        return false;
    }
    return true;
}

(3) SQL注入风险与执行失败隐患

直接拼接$id和$data到SQL语句，不仅存在安全风险，还可能因特殊字符导致SQL执行失败。必须改用预处理语句，以write方法为例：

public function write($id, $data): bool
{
    $NewDateTime = date('Y-m-d H:i:s', strtotime('+1 hour'));
    $stmt = mysqli_prepare($this->link, "REPLACE INTO system__sessions (system__sessions_id, last_access_timestamp, data) VALUES (?, ?, ?)");
    mysqli_stmt_bind_param($stmt, 'sss', $id, $NewDateTime, $data);
    $result = mysqli_stmt_execute($stmt);
    mysqli_stmt_close($stmt);
    return $result;
}

read/destroy/gc方法需同步修改为预处理语句。

二、多站点会话共享的关键配置检查 #

要实现3个站点会话共享，需确保以下配置完全一致：

1. 会话Cookie域名统一 #

在所有站点的PHP脚本或FPM配置中设置：

session_set_cookie_params([
    'domain' => '.yourdomain.com', // 顶级域名，覆盖所有子站点
    'path' => '/',
    'lifetime' => 43200,
    'secure' => true, // HTTPS环境启用
    'httponly' => true,
    'samesite' => 'Lax' // 跨域场景可设为'None'，需配合secure=true
]);

或FPM配置：

php_admin_value[session.cookie_domain] = .yourdomain.com
php_admin_value[session.cookie_path] = /

2. 会话名称一致 #

所有站点的session.name必须相同，避免默认值被修改：

session_name('SHARED_SESSID');

或FPM配置：

php_admin_value[session.name] = SHARED_SESSID

3. 数据库连接统一 #

三个站点必须连接同一个数据库实例，且system__sessions表结构完全一致，确保会话数据存储在同一位置。

4. 时区配置一致 #

所有站点的PHP时区（date.timezone）和数据库时区必须相同，避免时间判断偏差导致会话读取失败。

5. 会话ID生成规则一致 #

确保所有站点的以下配置相同：

php_admin_value[session.hash_function] = sha256
php_admin_value[session.hash_bits_per_character] = 5

避免不同站点生成的会话ID格式不兼容。

内容的提问来源于stack exchange，提问作者Fran Díaz