PHP会话重叠问题：同设备多用户登录会话互串解决方案咨询

问题根源 #

浏览器同域下的标签页会共享Cookie，PHP默认使用PHPSESSID作为会话标识的Cookie名称。当你在第二个标签页登录新用户时，新的会话ID会覆盖浏览器中PHPSESSID的值，导致第一个标签页刷新时，会使用新的会话ID读取第二个用户的会话数据，从而出现串号。

解决思路 #

让每个标签页使用独立的会话Cookie名称，结合前端localStorage（标签页独立存储）保存当前标签页的会话标识，后端根据该标识加载对应的会话，实现会话隔离。

具体代码修改 #

1. 登录脚本修改（生成独立会话名称） #

修改登录逻辑，为每个登录请求生成唯一的会话名称，并在跳转时传递该名称：

<?php
$is_invalid = false;
if ($_SERVER["REQUEST_METHOD"] === "POST") {
    $mysqli = require __DIR__ . "/databaseCon.php";

    // 修复SQL注入：使用预处理语句
    $sql = "SELECT * FROM users WHERE email = ?";
    $stmt = $mysqli->prepare($sql);
    $stmt->bind_param("s", $_POST["mail"]);
    $stmt->execute();
    $result = $stmt->get_result();
    $user = $result->fetch_assoc();

    if ($user && password_verify($_POST["passw"], $user["password_hash"])) {
        // 生成唯一会话名称
        $session_name = 'SESS_' . uniqid('', true);
        // 设置会话名称
        session_name($session_name);
        // 启动会话并重新生成ID（删除旧会话）
        session_start();
        session_regenerate_id(true);

        $_SESSION["user_id"] = $user["user_id"];
        $_SESSION["firstName"] = $user["firstName"];
        $_SESSION["privilege"] = $user["privilege"];

        // 跳转时携带会话名称
        header("Location: /Controllers/sessionInit.php?sess_name=" . urlencode($session_name));
        exit;
    }
    $is_invalid = true;
}
?>

2. 会话初始化页（sessionInit.php）存储会话名称到localStorage #

在跳转后的初始化页面，将会话名称存入当前标签页的localStorage：

<?php
$sess_name = $_GET['sess_name'] ?? '';
?>
<!DOCTYPE html>
<html>
<head>
    <!-- 其他头部内容 -->
</head>
<body>
    <?php if ($sess_name): ?>
    <script>
        // 将会话名称存入当前标签页的localStorage（标签页独立）
        localStorage.setItem('current_session_name', '<?php echo $sess_name; ?>');
    </script>
    <?php endif; ?>
    <!-- 页面其他内容 -->
</body>
</html>

3. 全局会话验证代码修改（加载对应会话） #

修改所有需要验证会话的页面，先从前端传递的会话名称加载对应会话，同时修复SQL注入问题：

<?php
// 从请求头/表单/URL参数获取当前标签页的会话名称
$sess_name = $_SERVER['HTTP_X_SESSION_NAME'] ?? $_POST['sess_name'] ?? $_GET['sess_name'] ?? 'PHPSESSID';
// 设置会话名称并启动会话
session_name($sess_name);
session_start();

if(isset($_SESSION["user_id"])) {
    $mysqli = require __DIR__ . "/databaseCon.php";

    // 修复SQL注入：使用预处理语句
    $sql = "SELECT * FROM users WHERE user_id = ?";
    $stmt = $mysqli->prepare($sql);
    $stmt->bind_param("i", $_SESSION["user_id"]);
    $stmt->execute();
    $result = $stmt->get_result();
    $user = $result->fetch_assoc();

    $getSessions = $mysqli->query("SELECT sessionName FROM sessions");
}
?>

4. 前端全局处理（自动传递会话名称） #

在所有页面的HTML中添加以下脚本，自动为请求附加会话名称，确保后端能正确识别当前标签页的会话：

<script>
document.addEventListener('DOMContentLoaded', function() {
    const sessName = localStorage.getItem('current_session_name');
    if (!sessName) return;

    // 为AJAX请求添加会话名称请求头
    const originalFetch = window.fetch;
    window.fetch = function(url, options) {
        options = options || {};
        options.headers = options.headers || new Headers();
        options.headers.set('X-Session-Name', sessName);
        return originalFetch(url, options);
    };

    // 为所有表单添加会话名称隐藏字段
    document.querySelectorAll('form').forEach(form => {
        const input = document.createElement('input');
        input.type = 'hidden';
        input.name = 'sess_name';
        input.value = sessName;
        // 避免重复添加
        if (!form.querySelector('input[name="sess_name"]')) {
            form.appendChild(input);
        }
    });
});
</script>

注意事项 #

• 标签页关闭后，localStorage会保留会话名称，若需清除可在用户退出登录时执行localStorage.removeItem('current_session_name')。
• 务必修复代码中的SQL注入风险，使用预处理语句而非字符串拼接。
• 会话过期后，后端需返回失效标识，前端清除localStorage并引导用户重新登录。

内容的提问来源于stack exchange，提问作者Kristian