SSO重定向后PHP Session数据为空问题求助

一、核心排查方向 #

• 跨域名/子域名Session Cookie限制：如果页面2和页面3分属不同域名或子域名，默认Session Cookie不会跨域传递。检查两者域名，若为同主域名下的子域名（如sso.example.com和www.example.com），需统一设置Session Cookie的domain参数：

  // 在页面2、页面3的最顶部添加
  ini_set('session.cookie_domain', '.example.com');
  session_start();
  

• Session启动时机错误：页面3必须在任何输出（包括空格、换行）之前调用session_start()，否则无法读取已存在的Session数据。
• SimpleSAML与原生Session冲突：SimpleSAML自身维护独立Session，若同时混用原生PHP Session可能导致隔离。可改用SimpleSAML的Session存储用户信息：
  页面2代码：

  $as = new SimpleSAML_Auth_Simple('default-sp');
  $attributes = $as->getAttributes();
  SimpleSAML_Session::getSessionFromRequest()->setData('custom', 'user_info', $attributes);
  

  页面3代码：

  $session = SimpleSAML_Session::getSessionFromRequest();
  $userInfo = $session->getData('custom', 'user_info');
  var_dump($userInfo);
  

二、代码优化建议 #

• 统一Session初始化：创建公共的session_init.php，在所有需要Session的页面头部引入，保证配置一致：

  // session_init.php
  ini_set('session.cookie_httponly', true); // 防XSS窃取Cookie
  ini_set('session.cookie_secure', true); // 生产环境启用，仅HTTPS传递Cookie
  ini_set('session.cookie_domain', '.example.com');
  session_start();
  

• 重定向使用绝对URL：避免相对路径导致的域名/路径不一致，重定向后必须终止脚本执行：

  // 推荐写法
  header('Location: https://www.example.com/page3.php');
  exit;
  

• 添加Session ID调试：在页面2和页面3记录Session ID，确认是否为同一Session：

  // 页面2
  error_log('Page2 Session ID: ' . session_id());
  // 页面3
  error_log('Page3 Session ID: ' . session_id());
  

  若ID不同，说明Cookie未正确传递，重点排查Cookie配置。
• 避免Session数据覆盖：存入数据前检查键名是否存在：

  if (!isset($_SESSION['user_givenName'])) {
      $_SESSION['user_givenName'] = $attributes['givenName'][0];
  }
  

内容的提问来源于stack exchange，提问作者M1CK43L