PHP自定义session_id不生效：PHPSESSID未更新为自定义ID

问题描述 #

我正在进行PHP开发，想要设置自定义session_id，但PHPSESSID并未变更为我设置的自定义会话ID。以下是用于设置自定义ID的登录处理文件，以及网站所有页面都会调用的config_session文件——我配置了会话每3小时重新生成：用户登录时生成附加用户ID的自定义session_id，未登录时生成随机session_id。

登录文件代码 #

<?php   

if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $email = $_POST['email'];
    $pwd = $_POST['pwd'];

    try {
        require_once 'dbh.inc.php';
        require_once 'login_model.inc.php';
        require_once 'login_contr.inc.php';

        // ERROR HANDLERS
        $errors = [];

        if (is_input_empty($email, $pwd)) {
            $errors["empty_input"] = "빈 칸에 정보를 입력해주세요.";
        }

        $result = get_email($pdo, $email);

        if (is_email_wrong($result)) {
            $errors["login_incorrect"] = "이메일 또는 비밀번호가 틀렸습니다.";
        }
        if (!is_email_wrong($result) && is_pwd_wrong($pwd, $result["pwd"])) {
            $errors["login_incorrect"] = "이메일 또는 비밀번호가 틀렸습니다.";
        }

        require_once 'config_session.inc.php';

        if ($errors) {
            $_SESSION["errors_login"] = $errors;
   
            header("Location: ../login.php");
            die();
        }

        $newSessionId = session_create_id();
        $sessionId = $newSessionId . "_" . $result["id"];
        session_id($sessionId);

        $_SESSION["user_id"] = $result["id"];
        $_SESSION['oauth_provider'] = htmlspecialchars($result["oauth_provider"]);
        $_SESSION["user_email"] = htmlspecialchars($result["email"]);
        $_SESSION["user_fullname"] = htmlspecialchars($result["fullname"]);

        $_SESSION["last_regeneration"] = time();

        header("Location:../index.php?login=success");
        $pdo = null;
        $stmt = null;

        die();
    } catch (PDOException $e) {
        die("Query failed: " . $e->getMessage());
    }
} else {
    header("Location: ../login.php");
    die();
}

config_session文件代码 #

<?php
ini_set('session.use_only_cookies', 1);
ini_set('session.use_strict_mode', 1);

session_set_cookie_params([
    'lifetime' => 10800,
    'domain' => 'localhost',
    'path' => '/',
    'secure' => true,
    'httponly' => true
]);

session_start();

if (isset($_SESSION["user_id"])) {
        
    if (!isset($_SESSION["last_regeneration"])) {
        regenerate_session_id_loggedin();
    } else {
        $interval = 60 * 180;
        if (time() - $_SESSION["last_regeneration"] >= $interval) {
            regenerate_session_id_loggedin();
        }
    }

} else {
    if (!isset($_SESSION["last_regeneration"])) {
        regenerate_session_id();
    } else {
        $interval = 60 * 180;
        if (time() - $_SESSION["last_regeneration"] >= $interval) {
            regenerate_session_id();
        }
    }
}

function regenerate_session_id_loggedin() 
{
    session_regenerate_id(true);

    $userId = $_SESSION["user_id"];
    $newSessionId = session_create_id();    
    $sessionId = $newSessionId . "_" . $userId;
    session_id($sessionId);

    $_SESSION["last_regeneration"] = time();
}
function regenerate_session_id() 
{
    session_regenerate_id(true);
    $_SESSION["last_regeneration"] = time();
}

我已在登录文件中添加error_log调试，确认生成的自定义session_id是正确的，但PHPSESSID始终没有更新为该自定义ID，请问这是什么原因？

问题根源 #

1. 会话启动顺序错误：登录文件中先引入config_session.inc.php，该文件执行了session_start()初始化会话，此时再调用session_id($sessionId)无法修改已活跃的会话ID——session_id()仅能在session_start()前设置新ID，会话启动后只能读取当前ID。
2. 重生成函数逻辑倒置：regenerate_session_id_loggedin()中先执行session_regenerate_id(true)生成默认ID并发送Cookie到客户端，后续的session_id($sessionId)仅修改服务器端变量，不会同步更新浏览器的PHPSESSID Cookie。

修复方案 #

1. 调整登录文件的会话初始化顺序 #

将自定义ID设置放在session_start()之前，仅在需要存储错误信息时提前引入会话配置：

// ... 错误处理部分 ...

if ($errors) {
    // 存储错误信息需要会话，提前启动
    require_once 'config_session.inc.php';
    $_SESSION["errors_login"] = $errors;
    header("Location: ../login.php");
    die();
}

// 先构建并设置自定义会话ID
$newSessionId = session_create_id();
$sessionId = $newSessionId . "_" . $result["id"];
session_id($sessionId);

// 再启动会话
require_once 'config_session.inc.php';

// 后续设置用户会话数据
$_SESSION["user_id"] = $result["id"];
$_SESSION['oauth_provider'] = htmlspecialchars($result["oauth_provider"]);
$_SESSION["user_email"] = htmlspecialchars($result["email"]);
$_SESSION["user_fullname"] = htmlspecialchars($result["fullname"]);

$_SESSION["last_regeneration"] = time();

header("Location:../index.php?login=success");
// ... 后续代码 ...

2. 修复会话重生成函数逻辑 #

先设置自定义ID，再执行重生成，并手动更新Cookie确保客户端同步：

function regenerate_session_id_loggedin() 
{
    $userId = $_SESSION["user_id"];
    $newSessionId = session_create_id();    
    $sessionId = $newSessionId . "_" . $userId;
    
    // 先设置自定义会话ID
    session_id($sessionId);
    // 执行重生成，false表示保留旧会话文件（可选，根据需求调整）
    session_regenerate_id(false);
    
    // 手动更新Cookie，确保浏览器同步新的PHPSESSID
    $cookieParams = session_get_cookie_params();
    setcookie(
        session_name(),
        $sessionId,
        time() + $cookieParams['lifetime'],
        $cookieParams['path'],
        $cookieParams['domain'],
        $cookieParams['secure'],
        $cookieParams['httponly']
    );

    $_SESSION["last_regeneration"] = time();
}

3. 关键注意事项 #

• session_id()必须在session_start()之前调用才能生效，会话启动后该函数仅作为读取用。
• 开启session.use_strict_mode时，自定义ID的前缀需符合PHP默认会话ID格式（32位十六进制），否则PHP会自动生成新ID覆盖你的设置。
• session_regenerate_id(true)会删除旧会话文件，若不需要清理可传false。

内容的提问来源于stack exchange，提问作者JIN SINGH