如何延长PHP登录会话超时时间至两周？

先纠正一个误区：mysqlnd.net_read_timeout是数据库连接的读取超时时间，和PHP会话完全无关，别再改这个参数了。

你的问题核心是会话要么被PHP的垃圾回收机制提前清理，要么是会话Cookie的参数配置不完整，导致浏览器提前删除了Cookie。下面给你一步步解决：

1. 正确配置会话Cookie和生命周期（必须按顺序编写） #

session_set_cookie_params必须在session_start()之前调用，而且要把参数写全，否则很可能被浏览器或服务器的默认配置覆盖。直接用下面的代码替换你原来的会话启动逻辑：

$twoWeeks = 1209600; // 两周对应的秒数

// 配置会话Cookie，覆盖默认参数
session_set_cookie_params([
    'lifetime' => $twoWeeks,
    'path' => '/', // 确保全站所有路径都能使用该会话
    'domain' => $_SERVER['HTTP_HOST'], // 子域名场景请改为'.yourdomain.com'格式
    'secure' => isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on', // HTTPS环境必须开启，否则浏览器可能拒绝保存Cookie
    'httponly' => true, // 防止JS读取Cookie，提升安全性
    'samesite' => 'Lax' // 防CSRF攻击，Strict兼容性稍差，按需选择
]);

// 设置会话垃圾回收的最大存活时间，与Cookie有效期保持一致
ini_set('session.gc_maxlifetime', $twoWeeks);
// 确保垃圾回收触发概率（默认1%足够，无需修改也可）
ini_set('session.gc_probability', 1);
ini_set('session.gc_divisor', 100);

// 最后启动会话
session_start();

2. 避免会话被其他应用的垃圾回收清理 #

如果你的服务器上还有其他PHP网站，它们可能和你共用默认的会话存储目录。如果其他网站设置的session.gc_maxlifetime小于两周，那么当它们触发垃圾回收时，会把你的会话文件一并删除。

解决办法是给你的应用单独设置会话存储目录：

$customSessionDir = '/var/www/your-app/sessions'; // 替换为你的专属目录，确保PHP有读写权限
if (!is_dir($customSessionDir)) {
    mkdir($customSessionDir, 0700, true); // 创建目录，0700权限防止其他用户访问
}
ini_set('session.save_path', $customSessionDir);

这段代码要放在上述会话配置代码之前，也就是session_start()之前。

3. 修复自定义超时逻辑 #

你之前写的固定过期时间逻辑存在问题：用户持续使用网站时，会话仍会在固定时间过期；而且如果会话被垃圾回收，$_SESSION['expire']会丢失，逻辑直接失效。

改成基于用户最后活动时间的超时逻辑，用户只要有操作就自动延长会话：

登录成功时的代码： #

// 前面已执行过session_start()
$_SESSION['user_id'] = $user_id; // 存储用户ID，用于判断登录状态
$_SESSION['last_activity'] = time(); // 记录用户最后一次操作时间
$_SESSION['expire_after'] = $twoWeeks; // 两周有效期

每个登录后页面的顶部代码： #

session_start(); // 同样，前面已配置过Cookie参数

// 先判断用户是否登录
if (!isset($_SESSION['user_id'])) {
    header('Location: login.php');
    exit;
}

// 刷新最后活动时间（用户访问页面即更新，延长会话）
$_SESSION['last_activity'] = time();

// 检查是否超时
if (time() - $_SESSION['last_activity'] > $_SESSION['expire_after']) {
    // 超时后销毁会话
    session_unset();
    session_destroy();
    header('Location: login.php?msg=会话已超时，请重新登录');
    exit;
}

4. 检查全局配置是否被覆盖 #

有些服务器会通过php.ini或.htaccess强制设置会话参数，你可以在脚本里输出当前配置，确认你的设置是否生效：

echo "当前session.gc_maxlifetime: " . ini_get('session.gc_maxlifetime') . "<br>";
echo "当前session.cookie_lifetime: " . ini_get('session.cookie_lifetime') . "<br>";
echo "当前session.save_path: " . ini_get('session.save_path') . "<br>";

如果输出的gc_maxlifetime不是1209600，说明你的ini_set被全局配置覆盖了。可尝试以下方式：

• Apache服务器：在.htaccess中添加

php_value session.gc_maxlifetime 1209600
php_value session.cookie_lifetime 1209600

• Nginx服务器：在fastcgi配置中添加

fastcgi_param PHP_VALUE "session.gc_maxlifetime=1209600; session.cookie_lifetime=1209600";

按上述步骤操作，基本就能解决你的会话24小时失效问题。

内容的提问来源于stack exchange，提问作者Rone