Firefox移动端PHP站点Session ID变更无法读取会话值问题

你遇到的Session ID变更、会话数据读取失败问题是多个问题叠加导致的：

1. session_start()用法错误：该函数的入参是Session配置项数组，不支持直接传入字符串格式的Session ID，你写的session_start($_POST['whlsd'])属于错误调用，根本不会按预期加载指定ID的会话，在Chrome这类Cookie策略相对宽松的浏览器下可能碰巧正常运行，遇到Firefox移动端这种严格安全策略的环境就会直接失效。
2. Firefox移动端默认Cookie安全策略比Chrome严格：如果PHP下发的Session Cookie没有配置SameSite属性、或者secure属性和当前站点协议不匹配，Firefox会直接拒绝存储、或在POST请求时拒绝携带该Cookie，PHP收不到请求里的Session ID就会自动生成新的会话ID，之前存在$_SESSION里的数据自然无法读取。
3. Session启动判断逻辑不严谨：用!session_id()判断会话是否启动，在部分FastCGI运行环境下会出现误判，导致会话没有被正确复用。

• 修正Session ID的设置逻辑：指定自定义Session ID必须在session_start()前调用session_id(目标ID字符串)，不能直接把ID作为参数传给session_start()。
• 启动Session前主动配置Cookie参数，明确设置SameSite、domain、path等必填属性，适配Firefox的安全规则。
• 增加Session ID格式校验，避免非法字符导致Session读写异常。
• 优先从Cookie中读取Session ID，自定义POST传入的ID仅作为兜底方案，降低会话固定攻击风险。

修复后的Session初始化代码参考：

<?php
error_reporting(E_ERROR | E_PARSE);
$logging=true;
ini_set('session.save_path', '/var/www/html/sessionID/');
ini_set("log_errors", 1);
ini_set("error_log", "/var/www/html/whitelabel_logging/direct_act_logs.txt");
require_once('/var/www/html/user-register-temp-properties.php');
date_default_timezone_set('Asia/Myanmar');
$whl_header_msisdn="null";
$language="EN";
$headers = apache_request_headers();
$transaction_rand="";

// 提前配置Session Cookie参数，适配Firefox严格安全策略
$currentCookieParams = session_get_cookie_params();
session_set_cookie_params([
    'lifetime' => $currentCookieParams['lifetime'],
    'path' => '/',
    'domain' => $_SERVER['HTTP_HOST'],
    'secure' => isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on',
    'httponly' => true,
    'samesite' => 'Lax'
]);

// 严谨判断会话状态，正确加载Session ID
if (session_status() === PHP_SESSION_NONE) {
    // 优先从Cookie读取Session ID，其次才从POST参数读取可信的自定义ID
    $sessionId = $_COOKIE[session_name()] ?? '';
    if (empty($sessionId) && isset($_POST['whlsd']) && !empty($_POST['whlsd'])) {
        // 校验传入的Session ID格式合法性，过滤非法字符
        $sessionId = preg_replace('/[^a-zA-Z0-9,-]/', '', $_POST['whlsd']);
        session_id($sessionId);
    }
    session_start();
    // 启动后刷新会话Cookie，确保浏览器正确存储
    session_regenerate_id(false);
}
?>

额外排查点 #

• 如果你的站点走HTTP协议，一定不要把Session Cookie的secure参数设为true，否则Firefox会直接拦截非HTTPS站点下发的secure Cookie，导致Session完全无法存储。
• 确认/var/www/html/sessionID/目录权限属于PHP运行用户（一般为www-data），且有读写执行权限，目录权限不足会导致Session文件写入失败，触发ID重置。
• 如果表单是跨域提交，需要把Cookie的samesite设为None，同时必须开启secure属性（即站点必须部署HTTPS），否则Firefox不会在跨域请求中携带Cookie。

内容的提问来源于stack exchange，提问作者Preeth6d