迁移至Ubuntu专用服务器后Ajax重定向丢失PHP SESSION求助

问题背景 #

我在1and1服务器用PHP7.4运行网站多年，一切正常。迁移到Ubuntu系统的专用服务器（PHP8.1.2）后，其他功能正常，但AJAX/PHP请求响应后用JS重定向客户端时SESSION丢失。已确保调用session_start()，未切换www/非www域名，代码和原服务器完全一致。另外Cookie授权提示频繁弹出，每次重定向时/var/lib/php/sessions都会生成新会话，客户端与服务器session_id不同步。

当前php.ini的SESSION配置 #

Session Support enabled
Registered save handlers    files user
Registered serializer handlers  php_serialize php php_binary
Directive   Local Value Master Value
session.auto_start  Off Off
session.cache_expire    180 180
session.cache_limiter   nocache nocache
session.cookie_domain   no value    no value
session.cookie_httponly no value    no value
session.cookie_lifetime 0   0
session.cookie_path /   /
session.cookie_samesite no value    no value
session.cookie_secure   0   0
session.gc_divisor  1000    1000
session.gc_maxlifetime  1440    1440
session.gc_probability  0   0
session.lazy_write  On  On
session.name    PHPSESSID   PHPSESSID
session.referer_check   no value    no value
session.save_handler    files   files
session.save_path   /var/lib/php/sessions   /var/lib/php/sessions
session.serialize_handler   php php
session.sid_bits_per_character  5   5
session.sid_length  26  26
session.upload_progress.cleanup On  On
session.upload_progress.enabled On  On
session.upload_progress.freq    1%  1%
session.upload_progress.min_freq    1   1
session.upload_progress.name    PHP_SESSION_UPLOAD_PROGRESS PHP_SESSION_UPLOAD_PROGRESS
session.upload_progress.prefix  upload_progress_    upload_progress_
session.use_cookies 1   1
session.use_only_cookies    1   1
session.use_strict_mode 0   0
session.use_trans_sid   0   0

需要检查的Apache及PHP配置项 #

1. Apache的mod_rewrite与URL重写规则 #

• 检查重写规则中是否无意中修改了Cookie传递逻辑，比如重定向时丢失PHPSESSID Cookie。
• 确保重写后的URL不会触发跨上下文限制，AJAX请求和重定向目标需处于同一域名的相同上下文。

2. PHP的session.cookie_samesite配置 #

• 当前session.cookie_samesite无值，PHP8.1对SameSite Cookie的处理更严格，AJAX请求属于跨上下文请求，未设置该属性可能导致浏览器限制Cookie发送。
• 建议设置为Lax（兼容多数场景）或None（需配合session.cookie_secure=1，仅HTTPS环境可用）：

  session.cookie_samesite = "Lax"
  

3. 会话文件目录权限 #

• 执行命令检查/var/lib/php/sessions的权限：

  ls -ld /var/lib/php/sessions
  

• 确保Apache运行用户（通常为www-data）对该目录有读写权限，权限建议设为700或750，属主属组为www-data:www-data。权限不足会导致PHP无法读取旧会话文件，被迫生成新会话。

4. Apache的Header模块与Cookie处理 #

• 检查Apache配置中是否存在修改或清除Cookie的Header指令，比如：

  Header unset Cookie
  

• 这类指令会导致客户端丢失SESSION Cookie，需移除或调整。

5. PHP的session.use_strict_mode配置 #

• 当前session.use_strict_mode=0，PHP会接受客户端发送的任意session_id，即使服务器端无对应会话文件，也会创建新会话。
• 开启严格模式（session.use_strict_mode=1）可避免无效session_id导致的新会话创建，确保只有服务器生成的session_id才被认可。

6. AJAX请求的Cookie传递设置 #

• 确保AJAX请求中开启了Cookie传递：
  • 若用XMLHttpRequest，需设置xhr.withCredentials = true；
  • 若用Fetch API，需添加credentials: 'include'参数：

    fetch('/ajax-endpoint', {
      credentials: 'include'
    });
    

7. Apache的SetEnv与PHP环境变量 #

• 检查Apache配置是否通过SetEnv修改了PHP会话相关环境变量，比如PHP_SESSION_ID或SESSION_SAVE_PATH，这类配置会覆盖php.ini的默认设置。

8. 浏览器缓存与Cookie策略 #

• 测试不同浏览器或开启隐私模式验证，排查是否因PHP版本升级（7.4→8.1）导致浏览器Cookie存储规则变化，引发SESSION不同步。

内容的提问来源于stack exchange，提问作者Waldon