PHP $_SESSION认证状态不一致问题排查求助

环境与设计逻辑 #

• 运行环境：Windows + XAMPP
• 实现方式：纯PHP无框架搭建认证系统
• 核心流程：
  1. index.php开头检查会话，未启动则用指定会话名创建并启动
  2. 判断$_SESSION["loggedin"]是否为true，是则展示网站内容，否则显示登录窗口
  3. 登录验证通过后跳转回index.php，重新校验会话状态并展示内容

现存问题 #

1. index.php会话初始化异常：检查会话时，要么会话不存在，要么刚初始化就被强制设置$_SESSION["loggedin"] = false，但按设计认证前这个字段本不该被赋值
2. 会话状态不统一：post_login.php里启动会话后，明明已经设置了$_SESSION["loggedin"=>true, "user"=>"KENNUNG"]，但index.php读取不到这个认证状态

问题根源拆解 #

问题1根源：强制赋值破坏会话初始状态 #

index.php的else分支里，不管会话是不是刚创建，都会执行$_SESSION["loggedin"] = false;，直接把本该未定义的字段强制设为false，完全违背了“认证前不设置该字段”的设计逻辑。另外isset($_SESSION)的判断本身有漏洞——PHP里即使没启动会话，$_SESSION变量也可能已经被初始化（取决于PHP配置），导致会话启动逻辑失效。

问题2根源：会话启动混乱+路径不匹配 #

• 多个文件重复写会话启动代码，而且session_name($appName)的调用时机错误：必须在session_start()之前调用，但部分文件里因为会话已经启动，导致session_name()不生效，生成了不同的会话Cookie
• AJAX请求的URL用了绝对路径/mydomain/Controller/Auth/post_login.php，如果当前页面路径和这个不一致，会导致Cookie作用域不匹配，会话无法共享
• AuthenticationService.php里重复调用session_start()，进一步打乱会话状态

修复方案 #

1. 统一会话启动逻辑，创建全局初始化文件 #

新建Config/session_init.php，把所有会话相关配置集中在这里，避免重复代码：

<?php
include_once("settings.php");

// 必须在session_start前设置会话名
session_name($appName);
// 统一会话配置，确保全站共享
session_start([
    'cookie_lifetime' => 86400,
    'gc_maxlifetime'  => 86400,
    'use_cookies' => 1,
    'use_only_cookies' => 1,
    'cookie_domain' => $_SERVER['HTTP_HOST'], // 自动适配当前域名
    'cookie_path' => '/' // 确保整个站点的页面都能访问会话
]);

2. 修改index.php，移除强制赋值逻辑 #

<?php
// 先引入全局会话初始化
include_once("Config/session_init.php");

error_reporting(E_ALL);
ini_set('error_reporting', E_ALL);
ini_set('display_errors', 1);

$ROOT = __DIR__;
$content = "";

// 只判断loggedin是否存在且为true，不强制设置该字段
if (isset($_SESSION["loggedin"]) && $_SESSION["loggedin"] === true) {
    $content = $ROOT . "/View/Authentication/content.php";
} else {
    // 保持loggedin字段未定义状态，不赋值
    $_REQUEST = array();
    $content = $ROOT . "/View/Authentication/login.php";
}
?>
<!-- HTML部分保持不变 -->

3. 移除其他文件中的重复会话启动代码 #

/View/Authentication/login.php

删除原有会话启动代码，换成引入全局初始化文件：

<?php
include_once(__DIR__ . "/../../Config/session_init.php");
?>
<!-- 其余HTML/JS部分不变 -->

/Controller/Authentication/post_login.php

删除重复会话启动代码，引入全局初始化，同时修正响应逻辑（AJAX请求不需要跳转，直接返回JSON）：

<?php
include_once(__DIR__ . "/../../Config/session_init.php");

include_once(__DIR__ . "/../../Service/AuthenticationService.php");
// 本地开发不需要CORS头，直接移除避免跨域Cookie问题
// header("Access-Control-Allow-Origin: *");
// 其他CORS相关头也全部移除

$authenticationService = new AuthenticationService();
if ($_SERVER["REQUEST_METHOD"] !== "POST") {
    http_response_code(405);
    echo json_encode(['error' => '请求方法错误']);
    exit;
}
elseif (!isset($_POST['user_id'])|| !isset($_POST['password']) || empty(trim($_POST['user_id']))|| empty(trim($_POST['password']))) {
    http_response_code(400);
    echo json_encode(['error' => '请填写所有输入字段']);
    exit;
} elseif (strlen($_POST['password']) < 8) {
    http_response_code(400);
    echo json_encode(['error' => '密码长度不能少于8位']);
    exit;
}

$return = $authenticationService->authenticate($_POST['user_id'], $_POST['password']);
// 直接返回JSON，由前端处理跳转逻辑
echo json_encode($return);
exit;

/Service/AuthenticationService.php

删除会话启动代码，确保会话已经由调用方初始化完成：

<?php
include_once(__DIR__ . "/../Config/settings.php");
require_once(__DIR__ . "./../Data/UserRepository.php");

class AuthenticationService
{
    private UserRepository $userRepository;

    public function __construct()
    {
        $this->userRepository = new UserRepository();
    }

    public function authenticate(string $kennung, string $password): array
    {
        $user = strtoupper(trim($kennung));
        $PW = hash('sha3-512', trim($password));

        $returnData = [
            'loginOk' => false,
            'passwordOk' => false,
            'user' => $user
        ];

        $userData = $this->userRepository->get($user);
        // 增加用户不存在的判断，避免报错
        if (!$userData) {
            return $returnData;
        }
        $dbPW = $userData['password'];

        if ($dbPW === $PW) {
            $returnData['loginOk']    = true;
            $returnData['passwordOk'] = true;
            $returnData['user'] = $userData;

            $_SESSION["loggedin"] = true;
            $_SESSION["user"] = $userData;
        }
        return $returnData;
    }
}

4. 修正login.js的AJAX路径与响应处理 #

//@Stackoverflow: Ignore Modal Initialization
openLoginModal();
function openLoginModal() {
    const modal = bootstrap.Modal.getOrCreateInstance('#LoginModal', {
        keyboard: false,
        backdrop: 'static'
    });
    modal.show();

    $("#login-form").on('submit', (event)=> {
        event.preventDefault();
        postAuthentication(event);
    });
}

function postAuthentication(event) {
    event.preventDefault();
    // 简化FormData创建方式
    const formData = new FormData(event.currentTarget);

    $.ajax({
        // 使用相对路径，避免域名/路径不匹配导致Cookie无法传递
        url: '../Controller/Auth/post_login.php',
        type: 'POST',
        data: formData,
        cache: false,
        processData: false,
        contentType: false,
        success: (response) => {
            if (response.loginOk) {
                // 刷新当前页面，重新校验会话状态
                window.location.reload();
            } else {
                alert("登录失败：账号或密码错误");
            }
        },
        error: (response) => {
            alert("错误：" + (response.responseJSON?.error || response.responseText));
        }
    });
}

关键注意点 #

• 所有PHP文件必须先引入全局会话初始化文件，避免会话启动混乱
• 本地开发时，确保会话Cookie的path设为/，保证全站页面都能共享会话
• 不要在本地开发的AJAX请求中添加CORS头，否则会导致Cookie无法正常传递
• 认证逻辑中必须增加用户不存在的判断，避免数据库查询返回空值时报错

内容的提问来源于stack exchange，提问作者TheAmygdala