SESSION maxlifetime配置异常：用户短时间内莫名登出问题排查

我来帮你一步步排查这个问题，从你给出的代码和配置来看，有几个容易忽略的点可能导致session提前失效：

1. Login页面的Session启动时机错误 #

看你login.php顶部的代码，在检查$_SESSION["loggedin"]之前没有调用session_start()！PHP在访问$_SESSION超全局变量之前必须先启动会话，否则这个检查根本无法读取到正确的session值，甚至可能导致后续session初始化出现异常。

修复方法：把session_start()移到login.php的最顶部，在任何输出和session检查之前：

<?php
session_start();
// If user is logged inn, redirect to index.php
if(isset($_SESSION["loggedin"]) && $_SESSION["loggedin"] === true){
    header("location: index.php");
    exit;
}
// 后续的登录处理代码...
?>

2. 忽略了Session Cookie的生命周期设置 #

你只修改了服务器端的session.gc_maxlifetime（会话文件在服务器上的保留时间），但浏览器端的session cookie默认是会话级别的——也就是用户关闭浏览器就会失效，而且即使不关闭浏览器，cookie的有效期如果没设置，也可能被浏览器提前清理。

解决办法：需要同步设置session cookie的有效期，确保和session.gc_maxlifetime一致。可以在所有调用session_start()之前添加以下代码：

<?php
// 设置session cookie有效期为8小时（和gc_maxlifetime一致）
$cookieLifetime = 28800;
session_set_cookie_params([
    'lifetime' => $cookieLifetime,
    'path' => '/',
    'domain' => $_SERVER['HTTP_HOST'],
    'secure' => isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on', // HTTPS网站建议开启
    'httponly' => true, // 增强安全性，防止XSS窃取cookie
    'samesite' => 'Lax' // 防止CSRF
]);
session_start();
// 后续的登录检查或处理代码...
?>

或者直接在php.ini中全局设置：

session.cookie_lifetime = 28800

3. Session垃圾回收的概率和存储目录问题 #

即使你设置了session.gc_maxlifetime，如果PHP的session垃圾回收机制触发过于频繁，或者session存储目录权限不正确，也可能导致session文件被提前清理：

• 检查session.gc_probability和session.gc_divisor：默认是1和100，也就是每次请求有1%的概率触发垃圾回收。如果这个概率太高（比如设置成100/100），会导致每次请求都清理旧session，可能误删还在有效期内的session。
• 确保session存储目录（session.save_path）的权限正确，PHP进程有读写权限，否则session文件无法正常创建或保留。

4. 检查是否有其他代码意外销毁Session #

排查网站所有页面的代码，看是否有地方调用了session_destroy()、unset($_SESSION['loggedin'])或者session_unset()，这些操作会直接销毁session或清除登录状态。另外，也要注意是否有重定向逻辑错误，导致session变量被意外覆盖或清除。

5. Session Regenerate ID的细节 #

你在登录成功后调用了session_regenerate_id()，默认情况下这个函数不会删除旧的session文件（参数默认是false）。虽然这通常不会导致提前登出，但如果想更安全，可以传递true参数删除旧session：

session_regenerate_id(true);

内容的提问来源于stack exchange，提问作者Andrei2