为何浏览器二次请求时不向服务器返回之前的PHPSESSID Cookie？

首先明确PHP会话与PHPSESSID Cookie的核心交互规则：

• 当session_start()被调用时，若客户端未携带PHPSESSID Cookie，PHP会生成唯一会话ID，并通过响应头的Set-Cookie指令发送给浏览器，默认包含HttpOnly、path=/等属性，浏览器会存储该Cookie，后续同域名下的请求会自动携带。
• 若客户端已携带PHPSESSID，PHP会根据该ID加载对应会话数据，此时$_COOKIE['PHPSESSID']会被填充。

第一个示例的正常流程 #

代码：

<?php
print_r($_COOKIE);
if (!isset($_COOKIE['PHPSESSID'])) {
    session_start();
    echo "Starting a session<br/><hr/>";
}

• 第一次请求：浏览器未携带PHPSESSID，$_COOKIE为空，进入if分支调用session_start()。PHP生成会话ID，响应头返回Set-Cookie: PHPSESSID=xxx; path=/; HttpOnly，浏览器存储该Cookie。
• 第二次请求：浏览器自动携带PHPSESSID，$_COOKIE中包含该值，不会进入if分支，直接输出完整的Cookie数组。

第二个示例的问题根源 #

代码：

<?php
print_r($_COOKIE);
if (!isset($_COOKIE['PHPSESSID'])) {
    session_start();
    echo "Starting a session<br/><hr/>";
}
else {
    echo "Destroying a session<br/>";
    setcookie('PHPSESSID', '', time() - 3600);
}

你遇到的问题核心是手动删除Cookie的指令参数不匹配，导致浏览器无法正确处理，进而出现循环异常：

1. 第一次请求：无PHPSESSID，调用session_start()，响应头返回带HttpOnly、path=/属性的PHPSESSID Cookie，浏览器存储。
2. 第二次请求：浏览器携带PHPSESSID，进入else分支，执行setcookie('PHPSESSID', '', time() - 3600)。但这个指令未指定与原Cookie一致的属性（HttpOnly、path=/），浏览器会认为这是两个不同的Cookie，无法删除由session_start()创建的那个HttpOnly的PHPSESSID。
3. 后续请求：浏览器仍会携带原PHPSESSID，服务端再次进入else分支，重复发送无效的删除指令，最终让你误以为浏览器从未存储过Cookie。

正确的会话销毁方式 #

要彻底删除PHPSESSID Cookie并销毁会话，需要保证setcookie的参数与session_start()默认设置的一致，同时调用session_destroy()：

<?php
print_r($_COOKIE);
if (!isset($_COOKIE['PHPSESSID'])) {
    session_start();
    echo "Starting a session<br/><hr/>";
}
else {
    echo "Destroying a session<br/>";
    // 先启动会话才能销毁服务器端数据
    session_start();
    session_destroy();
    // 用与原Cookie一致的参数删除客户端Cookie
    setcookie('PHPSESSID', '', time() - 3600, '/', '', false, true);
}

解释：

• session_destroy()会删除服务器端的会话数据，但不会自动删除客户端的Cookie。
• setcookie的最后两个参数：false表示不需要Secure（仅HTTPS环境启用），true表示HttpOnly，加上path=/，确保与session_start()默认生成的Cookie属性完全匹配，这样浏览器才能正确删除该Cookie。

关键注意事项 #

• Cookie的匹配规则：只有当名称、域名、路径、Secure/HttpOnly属性完全一致时，才能覆盖或删除已存在的Cookie。
• session_start()的默认配置可通过php.ini中的session.cookie_*系列参数修改，比如session.cookie_httponly、session.cookie_path等。
• 若未调用session_start()，PHP不会自动处理会话相关的Cookie逻辑，$_COOKIE仅包含浏览器发送的所有Cookie。

内容的提问来源于stack exchange，提问作者LeoRado