Firefox不识别已清除PHP Session Chrome正常问题排查

开发PHP站点用户认证功能时遇到跨浏览器兼容性问题：用户登出逻辑在Chrome 103.0.5060.114版本中运行正常，在Firefox 103.0b9版本中无法识别已被清除的会话变量，登出跳转后仍显示已登录状态。

相关业务代码 #

站点index.php中引入的权限校验文件checkUser.php代码如下：

<?php
session_start();
echo("DEBUG_checkUser:" . $_SESSION['name'] . "<br>");
if (!isset($_SESSION['name'])) {
    header('Location: denied.php');
} else {
    echo("<span style='font-size: 12px'>Logged in as " . $_SESSION['fname'] . " " . $_SESSION['lname'] . " (" . $_SESSION['name'] . "). ");
    echo("<a href='../POC/logoff.php'>Logoff</a>.");
    echo("</span>");
}
?>

负责登出逻辑的logoff.php代码如下：

<?php
session_start();
unset($_SESSION['name']);
//echo("DEBUG" . $_SESSION['name'] . "<br>"); //Notice: Undefined index: name in D:\XAMPP\htdocs\POC\logoff.php on line 5
session_unset();
session_destroy();
header('Location: ../POC/index.php');
?>

预期逻辑：用户点击登出按钮后，$_SESSION['name']变量被清除，访问index.php时会被校验逻辑重定向到denied.php。

已完成排查 #

• 注释logoff.php中的跳转逻辑，直接输出$_SESSION['name']会抛出未定义索引通知，确认服务端已正确清除会话变量
• 已清空localhost域名下所有Cookie，登出前后PHPSESSID值保持一致
• 代码中session_unset()、session_destroy()为冗余添加，Chrome环境下即使删除这两个函数，登出逻辑也可正常运行

临时处理方案与疑问解答 #

最终定位问题为浏览器缓存策略差异导致，在.htaccess文件中添加如下配置，将html、htm、php类型文件的缓存有效期设置为0秒后，两个浏览器均可正常运行登出逻辑：

<FilesMatch "\.(html|htm|php)$">
Header set Cache-Control "max-age=0, private, proxy-revalidate"
</FilesMatch>

针对“此前PHP文件缓存时长设置为60秒时，为何Chrome浏览器可以正常运行登出逻辑”的疑问，核心原因是两款浏览器的默认缓存判定逻辑不同：

• Chrome在触发用户主动点击导致的页面跳转时，即便目标页面存在未过期的本地缓存，也会默认向服务端发起带缓存校验头的请求，确认资源是否更新，只有服务端返回304状态码时才会使用本地缓存。因此登出后跳回首页时，Chrome会重新拉取服务端最新的页面内容，自然能识别到会话已经被清除。
• 测试所用的Firefox 103.0b9版本对普通GET跳转的缓存策略更激进，只要本地缓存未超过max-age设置的有效期，就直接读取本地缓存内容、不向服务端发起请求，因此加载的是用户登录状态下缓存的旧页面，表现为登出后仍显示已登录。

内容的提问来源于stack exchange，提问作者Lovro