使用session_regenerate_id(true)后会话失效，如何维持用户登录？

问题描述 #

按照教程实现的会话管理代码，登录后会话正常启动，但到达设定的会话重置间隔（原30分钟，测试时改为3分钟）后，会话被销毁，用户被迫登出。测试时每30秒持续刷新页面，且所有页面顶部都引入了require_once 'includes/config_session.inc.php';，但3分钟后登录状态仍失效。需要解决使用session_regenerate_id(true)后保持用户登录的问题。

原代码 #

<?php

ini_set('session.use_only_cookies', 1);
ini_set('session.use_strict_mode', 1);

session_set_cookie_params([
   'lifetime' => 1800, 
    'domain' => 'www.snoozelings.com',
    'path' => '/',
    'secure' => true,
    'httponly' => true
]);

session_start();

if (isset($_SESSION["user_id"])) {
    if (!isset($_SESSION['last_regeneration'])) {
        regenerate_session_id_loggedin();
    } else {
        $interval = 60 * 30;
        if (time() - $_SESSION['last_regeneration'] >= $interval) {
            regenerate_session_id_loggedin();
        }
    }
} else {
    if (!isset($_SESSION['last_regeneration'])) {
        regenerate_session_id();
    } else {
        $interval = 60 * 30;
        if (time() - $_SESSION['last_regeneration'] >= $interval) {
            regenerate_session_id();
        }
    }
}
function regenerate_session_id() {
    session_regenerate_id(true);
    $_SESSION['last_regeneration'] = time();
}

function regenerate_session_id_loggedin() {
    session_regenerate_id(true);
    
    $userID = $_SESSION["user_id"];
    
    $newSessionId = session_create_id();
    $sessionId = $newSessionId . "_" . $userID;
    session_id($sessionId);
    
    $_SESSION['last_regeneration'] = time();
}

问题根源 #

核心错误出在regenerate_session_id_loggedin函数的逻辑：

1. 调用session_regenerate_id(true)时，PHP已经生成了新的安全会话ID，并且自动向浏览器发送包含新ID的会话cookie；
2. 后续手动生成并设置session_id($sessionId)，会修改当前服务器端会话的ID，但这个新ID并没有同步到浏览器的cookie中；
3. 下一次请求时，浏览器仍发送session_regenerate_id生成的旧cookie，服务器找不到对应ID的会话，就会创建全新的空会话，导致原登录状态丢失。

另外，测试时将重置间隔改为3分钟，但session_set_cookie_params中的lifetime仍为1800秒（30分钟），虽不是直接失效原因，但建议测试时同步调整以保持逻辑一致。

修复方案 #

1. 修正会话再生函数 #

移除手动修改会话ID的逻辑，让session_regenerate_id负责会话ID的生成与cookie同步。如果需要延长会话有效期，可在再生时重新设置cookie：

function regenerate_session_id_loggedin() {
    // 生成新的会话ID并删除旧会话文件
    session_regenerate_id(true);
    // 更新会话再生时间戳
    $_SESSION['last_regeneration'] = time();
    // 重新设置cookie，延长有效期（可选，保持和初始配置一致即可）
    setcookie(session_name(), session_id(), [
        'lifetime' => 1800,
        'domain' => 'www.snoozelings.com',
        'path' => '/',
        'secure' => true,
        'httponly' => true
    ]);
}

2. 同步测试间隔 #

将登录用户分支的重置间隔改为测试用的3分钟：

if (isset($_SESSION["user_id"])) {
    if (!isset($_SESSION['last_regeneration'])) {
        regenerate_session_id_loggedin();
    } else {
        // 测试时改为3分钟
        $interval = 60 * 3;
        if (time() - $_SESSION['last_regeneration'] >= $interval) {
            regenerate_session_id_loggedin();
        }
    }
}

额外注意事项 #

• 确保服务器会话存储（如文件、Redis）配置正确，没有提前清理会话的机制；
• session.use_strict_mode开启后，PHP会拒绝无效会话ID，这是安全配置，但需保证所有会话ID均由PHP生成，不要手动修改；
• 每次会话再生时重新设置cookie有效期，可让用户持续操作时自动延长会话时长，避免因cookie过期导致登出。

内容的提问来源于stack exchange，提问作者Megan Caza