如何在WordPress中安全开启Session？

你当前使用的代码存在核心问题：手动调用了已挂载到init钩子的register_my_session()函数，重复执行导致session_start()在WordPress初始化流程外触发，引发「标头已发送（Headers already sent）」的错误——这也是你截图中显示的典型问题。

正确的安全实现代码 #

将以下代码添加到主题的functions.php文件，或自定义插件的主文件中即可：

<?php
add_action('init', 'register_my_session');

function register_my_session() {
    // 仅在未开启会话、且无任何输出时启动
    if (!session_id() && !headers_sent()) {
        session_start([
            'cookie_secure' => is_ssl(), // HTTPS环境下才发送会话Cookie
            'cookie_httponly' => true, // 禁止JavaScript访问Cookie，防范会话劫持
            'cookie_samesite' => 'Strict', // 限制Cookie跨站发送，抵御CSRF攻击
        ]);
    }
}
?>

核心注意事项 #

• 禁止手动调用钩子绑定的函数：init钩子会在WordPress初始化阶段自动执行register_my_session()，手动调用会导致重复启动会话，触发标头错误。
• 添加安全配置参数：给session_start()传入安全属性，提升会话的安全性，避免常见的攻击风险。
• 严格控制执行时机：通过!headers_sent()判断，确保会话在任何HTML输出、空格、空行之前启动——这是WordPress中避免标头错误的关键。

常见问题排查 #

如果仍遇到「标头已发送」错误，可按以下步骤排查：

• 检查functions.php或相关文件的开头、结尾是否有多余的空格、空行，或UTF-8 BOM字符（可通过文本编辑器的「显示所有字符」功能查看）。
• 排查其他插件或主题代码，确认是否有内容在init钩子之前输出。
• 开启WordPress调试模式：在wp-config.php中添加define('WP_DEBUG', true);，查看具体的错误回溯信息，定位输出来源。

内容的提问来源于stack exchange，提问作者Chaitany Kulkarni