PHP MVC电商网站PhonePe支付后会话丢失及恢复问题求助

1. 确保回调请求携带原始会话ID #

发起支付时，必须把当前会话ID传递给PhonePe，让回调请求带回，这是恢复会话的核心前提：

// 发起支付前获取当前会话ID
$sessionId = session_id();

// 构造PhonePe支付请求，在回调URL或自定义参数中携带会话ID
$paymentParams = [
    'merchantId' => '你的商户ID',
    'transactionId' => uniqid('txn_'),
    'amount' => 1000, // 单位为最小货币单位（如分）
    'callbackUrl' => "https://你的域名/payment/callback?session_id={$sessionId}",
    'merchantParams' => json_encode(['session_id' => $sessionId]) // 双重保险，也可在自定义参数里传
];

回调处理时先提取这个会话ID：

// 从URL或POST参数中获取原始会话ID
$originalSessionId = $_GET['session_id'] ?? 
                     (json_decode($_POST['merchantParams'] ?? '', true)['session_id'] ?? null);

2. 修正数据库会话存储的实现 #

如果自定义了数据库会话处理器，必须确保序列化/反序列化、读写逻辑完全正确：

class DatabaseSessionHandler implements SessionHandlerInterface {
    private $pdo;

    public function __construct(PDO $pdo) {
        $this->pdo = $pdo;
    }

    public function open($savePath, $sessionName) { return true; }
    public function close() { return true; }

    public function read($sessionId) {
        // 读取未过期的会话数据
        $stmt = $this->pdo->prepare("SELECT data FROM sessions WHERE id = ? AND expires > NOW()");
        $stmt->execute([$sessionId]);
        $data = $stmt->fetchColumn();
        return $data !== false ? $data : '';
    }

    public function write($sessionId, $data) {
        // 保存会话并设置24小时过期时间
        $expires = date('Y-m-d H:i:s', time() + 86400);
        $stmt = $this->pdo->prepare("REPLACE INTO sessions (id, data, expires) VALUES (?, ?, ?)");
        return $stmt->execute([$sessionId, $data, $expires]);
    }

    public function destroy($sessionId) {
        $stmt = $this->pdo->prepare("DELETE FROM sessions WHERE id = ?");
        return $stmt->execute([$sessionId]);
    }

    public function gc($maxLifetime) {
        // 清理过期会话
        $stmt = $this->pdo->prepare("DELETE FROM sessions WHERE expires < NOW()");
        return $stmt->execute();
    }
}

// 初始化会话处理器
$pdo = new PDO('mysql:host=localhost;dbname=你的数据库', '用户名', '密码');
session_set_save_handler(new DatabaseSessionHandler($pdo), true);

3. 回调时手动恢复会话的正确流程 #

回调页面必须先设置原始会话ID，再启动会话，不能让PHP自动生成新ID：

// 1. 校验会话ID是否存在
if (!$originalSessionId) {
    die('无效的会话参数');
}

// 2. 先设置会话ID，再启动会话
session_id($originalSessionId);
session_start();

// 3. 兜底：如果session_start未自动恢复，手动从数据库读取并赋值
if (!isset($_SESSION['user_id'])) {
    $stmt = $pdo->prepare("SELECT data FROM sessions WHERE id = ? AND expires > NOW()");
    $stmt->execute([$originalSessionId]);
    $sessionData = $stmt->fetchColumn();
    if ($sessionData) {
        $_SESSION = unserialize($sessionData);
    } else {
        die('会话已过期或无效');
    }
}

// 4. 处理PhonePe回调逻辑（验证签名、更新订单状态等）
// ...

// 5. 跳转回用户页面，此时会话已恢复
header('Location: /order/success');
exit;

4. 排查MVC框架的会话逻辑 #

• 确认框架的会话中间件/初始化代码，在处理回调请求时不会自动生成新会话ID，优先使用我们传递的原始ID。
• 检查框架是否有自动调用session_regenerate_id()的逻辑，避免在回调时误触发导致会话ID变更。
• 确保用户认证逻辑（如检查$_SESSION['user_id']）是在会话恢复之后执行，而非之前。

5. 排查意外销毁会话的代码 #

• 检查支付流程中是否误调用了session_destroy()、session_unset()或unset($_SESSION['user_id'])。
• 核对PHP配置中的session.gc_maxlifetime，避免会话过期时间过短导致回调时会话已被垃圾回收。

内容的提问来源于stack exchange，提问作者Hkachhia