负载均衡下Redis+PHP会话ID冲突风险及解决办法问询

会不会出现两台服务器生成相同Session ID导致串会话？ #

首先说结论：正常配置下几乎不可能，就算真出现了，Redis共享存储也会通过session_start()的检查机制避免直接串会话，但极端情况仍有风险。

PHP默认生成Session ID的逻辑是结合随机数、时间戳、服务器环境信息等，只要你的session.entropy_length（熵长度）、session.hash_bits_per_character（每个字符的比特数）配置合理（比如熵长度设为32，字符比特数设为6），生成重复ID的概率低到可以忽略。除非两台服务器的随机数生成源有问题（比如用了低熵的伪随机源），才会增加重复概率。

但要注意：就算两台服务器生成了相同的Session ID，当第二台服务器执行session_start()时，会先去Redis里查这个ID是否存在——如果已经有用户A的会话数据，就会直接加载这个会话，这时候如果用户B拿到了这个ID（比如Cookie泄露、XSS攻击），才会出现非法访问的情况，但这本质上是Session ID泄露问题，不是服务器生成重复ID的锅。

怎么彻底规避风险？ #

如果要从根源消除顾虑，可以做这几件事：

• 优化PHP会话生成配置：
  • 确保session.entropy_file指向高熵源，比如Linux下的/dev/urandom，提升Session ID的随机性。
  • 把session.hash_bits_per_character设为6（默认是5），这样32字符的Session ID能提供192位的熵，远高于安全要求，进一步降低重复概率。
• 给不同服务器的Session ID加唯一前缀：
  在CodeIgniter 3里可以自定义会话ID生成逻辑，给每台服务器的Session ID加上专属前缀（比如服务器的缩写、IP哈希值），这样就算随机部分重复，加上前缀后整体ID也不会冲突。
  举个CI3的配置例子：

  $config['sess_driver'] = 'redis';
  $config['sess_save_path'] = 'tcp://你的Redis地址:6379';
  
  // 自定义Session ID生成函数
  function custom_session_id() {
      $server_prefix = 'web01_'; // 另一台服务器设成web02_
      $random_part = bin2hex(random_bytes(16)); // 生成32位随机串
      return $server_prefix . $random_part;
  }
  
  // 替换默认的ID生成器
  ini_set('session.id_generator', 'custom_session_id');
  

• 开启Session ID自动刷新：
  在CI3的config.php里设置sess_regenerate_destroy = TRUE，同时调整sess_time_to_update（比如设为300，即5分钟），让系统定期给用户刷新Session ID，就算极端情况出现重复，旧ID也会快速失效，影响范围极小。

session_start()的检查逻辑是什么？ #

PHP执行session_start()时，会先看请求里带的Session ID在Redis里有没有对应的会话：

• 如果有：直接加载现有会话数据，不会创建新的。
• 如果没有：生成新的Session ID并创建会话。
  但要注意：如果用户手动构造一个不存在的Session ID，session_start()会直接创建这个ID的会话——所以一定要保证Session ID足够随机、足够长，防止被猜测。

内容的提问来源于stack exchange，提问作者Tom