使用session.cookie_samesite Strict时，PayPal重定向后如何维持用户会话？

问题背景 #

核心需求是在全站使用session.cookie_samesite='strict'保障安全的前提下，让用户从PayPal支付完成重定向回thankyou.php时不会被登出，维持原有会话。

当前遇到的问题：用户从PayPal重定向回站点后，原有会话丢失，系统自动创建新会话；支付流程结束后通过$site='thankyou';跳转至thankyou.php。

尝试过的无效方案 #

曾在header.php中尝试根据页面类型分设SameSite属性，非thankyou页面用Strict，thankyou页面用Lax，但该方案无法生效——因为会话启动后（session_start()）修改ini_set参数不会更新已存在的Cookie，原有Strict属性的Cookie已经被浏览器保存，重定向回来时仍然不会被携带。

代码如下：

if($site!='thankyou'){
ini_set('session.cookie_httponly', 1 );
ini_set('session.cookie_secure', '1');
ini_set('session.cookie_samesite', 'strict');
ini_set("session.use_strict_mode", true);
session_start();
}

if($site=='thankyou'){
ini_set('session.cookie_httponly', 1 );
ini_set('session.cookie_secure', '1');
ini_set('session.cookie_samesite', 'lax');
ini_set("session.use_strict_mode", true);
session_start();
}

半解决方法（存在安全妥协） #

在用户即将跳转至PayPal结算页的页面执行以下代码，通过重新生成会话ID重置Cookie为Lax，能维持会话，但牺牲了Strict的安全优势：

session_start();
session_regenerate_id();

最优解决方案（兼顾安全与会话维持） #

SameSite=Strict会阻止跨站跳转时携带Cookie，因此我们只需要在跳转PayPal前临时将会话Cookie改为Lax，支付完成后再恢复Strict属性即可，无需牺牲全站的安全级别。

步骤1：跳转PayPal前临时修改Cookie属性 #

在跳转至PayPal的页面（如checkout.php）中执行：

// 启动会话
session_start();

// 保留原有Cookie的生命周期、路径、域名，仅修改SameSite为Lax
$cookieParams = session_get_cookie_params();
session_set_cookie_params([
    'httponly' => true,
    'secure' => true,
    'samesite' => 'Lax',
    'lifetime' => $cookieParams['lifetime'],
    'path' => $cookieParams['path'],
    'domain' => $cookieParams['domain']
]);

// 重新发送Cookie到浏览器，更新属性（false表示不生成新会话ID，维持原有会话）
session_regenerate_id(false);

// 跳转至PayPal结算页
header('Location: https://www.paypal.com/your-checkout-endpoint');
exit;

步骤2：支付完成后恢复Strict属性 #

在thankyou.php中，完成PayPal支付验证后，将Cookie改回Strict：

session_start();

// 此处添加PayPal支付回调的验证逻辑（省略具体实现）

// 恢复Strict属性的会话Cookie
$cookieParams = session_get_cookie_params();
session_set_cookie_params([
    'httponly' => true,
    'secure' => true,
    'samesite' => 'Strict',
    'lifetime' => $cookieParams['lifetime'],
    'path' => $cookieParams['path'],
    'domain' => $cookieParams['domain']
]);

// 重新发送Cookie，恢复Strict安全属性
session_regenerate_id(false);

// 后续处理thankyou页面的业务逻辑
$site = 'thankyou';
// ...

原理说明 #

• 跳转PayPal前临时切换Cookie为Lax，确保浏览器在PayPal重定向回站点时会携带会话Cookie，维持原有会话。
• 支付完成后立即恢复Strict属性，保证后续全站请求仍享受Strict带来的CSRF防护优势。
• 使用session_regenerate_id(false)是关键：它会重新发送会话Cookie以更新属性，但不会生成新的会话ID，避免会话丢失。

内容的提问来源于stack exchange，提问作者babawo