.htaccess重写规则导致PHP Session变量无法存储问题咨询

算力阿峰

2026-8-27

问题原因分析

该故障是重写后请求上下文变化、配置不统一导致的，核心诱因有三个：

Session Cookie作用路径不统一：关闭重写时，请求直接命中/platform1目录下的PHP脚本，PHP默认生成的Session Cookie作用路径为/platform1，同目录下请求可正常读取Cookie携带的SessionID。开启重写后所有非文件请求统一转发到根目录index.php，此时PHP默认生成的Session Cookie作用路径为/，和之前生成的Cookie路径不匹配，服务器无法读取原有会话标识，相当于每次请求都生成新会话，自然无法跨页面读取Session变量。
CORS配置阻止凭证传递：index.php中设置的Access-Control-Allow-Origin: *为通配符配置，按照浏览器跨域安全规则，通配符源下禁止请求携带Cookie、Session等身份凭证。如果前端fetch请求配置了凭证携带参数，浏览器会直接拦截响应、不存储Session Cookie，后续请求无法传递会话标识。
Session存储路径未显式指定：你将Session存储在与public_html同级的tmp目录，但未在代码中显式指定存储路径。000webhost虚拟主机不同目录上下文下可能加载不同的默认PHP配置，重写后请求在根目录上下文运行，可能读取到主机默认的其他Session存储目录，无法读取之前写入tmp目录的会话文件。

最优修复方案

按以下步骤配置即可解决问题，不需要每次请求重建Session：

全局统一Session配置，在请求最头部启动会话
在public_html/index.php的最开头（所有header输出、业务逻辑加载之前）加入以下代码，强制所有走统一入口的请求使用相同的Session配置：
```
// 显式指定Session存储到同级tmp目录
session_save_path($_SERVER['DOCUMENT_ROOT'] . '/../tmp');
// 统一Session Cookie配置，设置作用路径为站点根目录，全站点生效
session_set_cookie_params([
    'lifetime' => 0,
    'path' => '/',
    'httponly' => true,
    'samesite' => 'Lax'
]);
// 启动Session
session_start();
```
注意：删除platform1、platform2目录下原有业务代码中单独调用的session_start()，避免重复启动Session报错。

修正CORS配置，支持跨域凭证传递
将原有通配符CORS头替换为以下配置，兼容跨域场景下的Session Cookie传递：

// 动态获取请求源，替换通配符配置
$requestOrigin = $_SERVER['HTTP_ORIGIN'] ?? '';
// 如需做源白名单校验，可在此处判断$requestOrigin是否在你的允许列表内
header('Access-Control-Allow-Origin: ' . $requestOrigin);
header('Access-Control-Allow-Methods: GET, POST, OPTIONS');
header('Access-Control-Allow-Headers: Content-Type, X-Requested-With');
// 显式允许跨域请求携带凭证
header('Access-Control-Allow-Credentials: true');
// 直接响应OPTIONS预检请求，避免进入业务逻辑
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    http_response_code(204);
    exit;
}

对应前端fetch请求需要添加配置项credentials: 'include'，确保请求会主动携带Session Cookie。

优化.htaccess重写规则
调整原有重写规则，补全目录判断逻辑，避免不必要的转发：

php_flag output_buffering on

RewriteEngine on
# 请求指向真实存在的文件、目录时直接放行，不做重写
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . index.php [L]

配置验证
配置完成后新建测试页面，在根路由和platform1目录下的页面分别输出session_id()，确认两个场景下获取到的SessionID完全一致，写入的Session变量可跨页面正常读取即修复完成。

内容的提问来源于stack exchange，提问作者HymnZzy