求助：CodeIgniter从外部网站带POST重定向后Session丢失

环境信息 #

• CodeIgniter版本：3.1.13（最新版）
• 服务器环境：Ubuntu 20、Apache、PHP 8.0/8.1

问题现象 #

从外部网站（疑似支付网关页面）携带POST数据重定向回本站后，包含登录用户信息在内的Session全部丢失。

相关验证 #

• 无POST数据的外部重定向不会导致Session丢失
• Cookie未丢失

Session数据对比 #

1. 重定向前（主域名www.example.com）：Session数据完整
2. 子域名another.example.com带POST数据重定向后：Session丢失
3. 不同域名example-two.com无POST数据重定向后：Session数据完整
4. 不同域名example-two.com带POST数据重定向后：Session丢失

排查与解决建议 #

1. 调整CSRF保护配置 #

CodeIgniter的CSRF防护机制可能拦截跨域POST请求，导致Session无法正常读取：

• 在application/config/config.php中，将支付回调的URI加入CSRF白名单：

  $config['csrf_exclude_uris'] = array('pay/callback'); // 替换为实际回调路径
  

• 可临时关闭CSRF保护（$config['csrf_protection'] = FALSE;）测试，确认是否为CSRF导致问题。

2. 修正Session Cookie域名设置 #

确保Session Cookie支持跨子域共享，在config.php中配置：

$config['cookie_domain'] = '.example.com'; // 顶级域名前加英文点，适配所有子域
$config['sess_match_ip'] = FALSE; // 关闭IP匹配，避免跨域时IP变化导致Session失效
$config['sess_cookie_name'] = 'ci_session';
$config['sess_expiration'] = 7200;

3. 规范Session初始化流程 #

处理回调的控制器中，确保先加载Session库再读取POST数据：

public function callback() {
    $this->load->library('session');
    // 安全过滤POST数据
    $post_data = $this->input->post(NULL, TRUE);
    // 后续业务逻辑处理
}

4. 检查Session存储权限 #

如果使用文件存储Session，确认application/sessions目录权限为700，且Apache运行用户拥有读写权限；若使用数据库/Redis存储，检查连接配置是否正常。

5. 调整PHP Session配置 #

修改php.ini或.htaccess中的相关参数：

• session.cookie_secure = On（仅网站启用HTTPS时设置）
• session.cookie_samesite = Lax（跨域POST场景可尝试设为None，需配合secure=On）
• session.gc_maxlifetime = 7200（设置足够长的Session有效期，避免被提前回收）

内容的提问来源于stack exchange，提问作者Mr Cathode