存储Stripe Checkout Session ID到$_SESSION后验证不匹配的CPanel生产环境问题

我把Stripe Checkout Session ID存在$_SESSION['checkout_id']里，在success.php中检查$_GET['session_id']是否和这个值匹配，但二者并非始终一致。本地测试完全没问题，只在CPanel生产环境中出现问题。

相关代码片段如下：

CreateCheckoutSession.php 代码片段 #

$_SESSION['checkout_id'] = "";
$checkout_session = \Stripe\Checkout\Session::create([
    'payment_method_types' => ['card'],
    'line_items' => $line_items,
    'mode' => 'payment',
    'success_url' => $YOUR_DOMAIN . '/checkout/success.php?session_id={CHECKOUT_SESSION_ID}&php_session_id='.$session_id.'',
    'cancel_url' => $YOUR_DOMAIN . '/checkout/canceled.php?php_session_id='.$session_id.'',
]);
$_SESSION['checkout_id'] = $checkout_session->id;

success.php 代码片段 #

<?php

session_start();
$session_id=session_id();
use PHPMailer\PHPMailer\PHPMailer;
use PHPMailer\PHPMailer\SMTP;
use PHPMailer\PHPMailer\Exception;
//Load Composer's autoloader
require '../php/vendor/autoload.php';

//Create an instance; passing `true` enables exceptions
$mail = new PHPMailer(true);
//wipe basket if not already
include_once("../php/connect.php");
//check basket exists

if ($_SESSION['checkout_id'] != $_GET['session_id']) {
    //echo $_SESSION['checkout_id'];
    //echo $session_id;
    //echo $_GET['php_session_id'];
    
    //echo $_GET['session_id'];
    //header('Location: ../index.php');

错误信息 #

Warning: Undefined array key "checkout_id" in home/public_html/checkout/success.php on line 21

跳转URL示例 #

success.php?session_id=cs_test_a1zoOWt5bwr7t3xtk67waAbS9Q7xyDp6GlLbuneNnfmp7SC4XaJWI4CgWD&php_session_id=fa3b43e0b3a5e2da9485ae1f6c97a1b0

问题根源 #

1. 会话不匹配/丢失：CPanel环境下，PHP会话可能因为存储路径权限不足、Cookie配置错误（域名/路径不匹配）、会话超时时间过短等原因，导致用户从Stripe跳转回success.php时，无法读取到之前创建的$_SESSION['checkout_id']。另外你虽然在URL里传了php_session_id，但没在success.php里用它恢复会话，导致当前会话和创建Checkout Session时的会话不是同一个。
2. 会话启动时机错误：如果connect.php里也调用了session_start()，会引发会话冲突；或者session_start()之前有输出（比如空格、BOM头），导致会话Cookie无法正确设置，进而丢失会话数据。
3. 浏览器隐私限制：用户在Stripe支付页面完成支付后跳转时，浏览器可能因为隐私设置阻止了会话Cookie的携带，导致success.php启动新会话，自然读不到之前的checkout_id。

修复步骤 #

1. 恢复指定会话：
   修改success.php的会话启动逻辑，先用URL里的php_session_id指定会话ID，再启动会话：

   // 先设置会话ID，再启动会话
   if (isset($_GET['php_session_id'])) {
       session_id($_GET['php_session_id']);
   }
   session_start();
   

2. 检查PHP会话配置：
   在CPanel的PHP设置里确认：

   • session.save_path路径存在且有读写权限
   • session.cookie_domain和你的站点域名一致
   • session.cookie_path设为/，确保全站共享会话
   • session.gc_maxlifetime设置足够长（比如3600秒），避免支付过程中会话超时

3. 添加安全检查：
   在success.php的判断逻辑前，先检查$_SESSION['checkout_id']是否存在，避免Undefined索引错误：

   if (!isset($_SESSION['checkout_id']) || $_SESSION['checkout_id'] !== $_GET['session_id']) {
       header('Location: ../index.php');
       exit; // 必须加exit，防止后续代码执行
   }
   

4. 改用Stripe Webhook（更可靠方案）：
   依赖会话验证有风险，推荐用Stripe Webhook接收支付成功事件：

   • 在Stripe后台配置Webhook端点，监听checkout.session.completed事件
   • 在Webhook处理脚本中，用\Stripe\Webhook::constructEvent()验证事件合法性，直接根据Session ID处理后续逻辑（比如发邮件、清空购物车），完全不依赖用户会话，避免会话丢失问题

内容的提问来源于stack exchange，提问作者MajorTennis