CodeIgniter 4 验证页面POST请求的if条件内Session数据丢失问题

看起来你遇到了CI4里Session在POST请求中离奇丢失的典型问题，我帮你梳理几个最可能的原因和对应的解决步骤，从最可疑的点开始排查：

1. 手动调用session()->close()是核心元凶！ #

你在handleUnregisteredEmail方法最后调用了session()->close()，这大概率是问题的根源：

CodeIgniter 4会自动管理Session的生命周期——在请求结束时，框架会自动保存Session数据到存储介质（比如你用的文件存储）并关闭Session。而手动提前调用session()->close()，会导致你刚设置的verify_user_id、checksum_code等Session数据还没来得及写入到文件里，就被强制关闭了。这样后续的POST请求自然读不到这些数据，只能拿到新Session的默认__ci_last_regenerate字段。

解决方法：直接删掉这行多余的代码，让框架自动处理Session的收尾工作：

// 删掉这一行：session()->close();
return redirect()->to(route_to('verify-registration.user'));

2. 检查Session Cookie的配置是否合理 #

如果上面的修改没解决问题，接下来检查Session Cookie的配置，这是POST请求丢失Session的高频原因：

打开app/Config/App.php，确认以下参数：

• $sessionCookieSecure：如果你的开发环境是HTTP（非HTTPS），这个值必须设为false。如果设为true，浏览器会拒绝在HTTP请求中发送Session Cookie，POST请求就完全拿不到Session了。
• $sessionCookieSameSite：建议保持默认的'Lax'，如果设为'Strict'，在跳转场景下可能会出现Cookie丢失的情况。
• $sessionCookieDomain：本地开发留空或者设为'localhost'即可，线上环境要和你的域名匹配。

3. 确认Session存储的权限和配置 #

你提到Session文件已经在writable/session里生成了，再补两个检查点：

• 文件权限：确保Session文件的权限是700（只有所有者可读可写），并且所属用户是你的Web服务器运行用户（比如本地是你的用户名，线上是www-data/apache）。
• Session配置：打开app/Config/Session.php，确认$driver是'file'（你当前用的存储方式），$savePath是WRITEPATH . 'session'（默认配置，一般没问题）。

4. 排查CSRF验证是否间接影响Session #

虽然你已经加了csrf_field()，但可以确认CSRF验证是否正常通过——如果CSRF验证失败，CI4可能会重置Session：

在verifyRegistration的POST分支开头加个检查：

public function verifyRegistration() {
    if ($this->request->getMethod() === 'POST') {
        // 先确认CSRF验证是否通过
        if (!$this->request->isValid()) {
            dd('CSRF验证失败，请检查表单Token');
        }
        dd(session()->get());
        // 其他业务代码...
    }
    // GET分支代码...
}

如果输出CSRF验证失败，你可以临时把app/Config/Filters.php里的$csrfRegenerate设为false测试（生产环境建议改回true），或者检查表单提交时的Token是否正确传递。

5. 手动触发Session启动（极端场景） #

极少数情况下，Session可能没有自动启动，你可以在verifyRegistration方法开头手动触发：

public function verifyRegistration() {
    session()->start(); // 手动启动Session
    if ($this->request->getMethod() === 'POST') {
        dd(session()->get());
        // 其他业务代码...
    }
    // GET分支代码...
}

最后验证流程 #

修改后重新走一遍流程：

1. 提交邮箱，生成OTP并设置Session
2. 跳转到验证页面后，在GET分支打印Session，确认数据存在
3. 提交OTP表单，在POST分支打印Session，此时应该能正常看到verify_user_id、checksum_code等数据了

内容来源于stack exchange