是否可仅对特定路径验证会话？同域名多站点会话共享如何解决

问题根因 #

默认PHP配置下，会话ID存储在Cookie的PHPSESSID字段中，该Cookie的默认生效路径为/，即同域名下所有路径的站点都能读取到同一个会话ID，访问同一份会话数据，因此会出现登录/登出状态联动的问题。

可行解决方案 #

方案1：为不同站点设置独立的会话Cookie生效路径（最推荐） #

在每个站点的公共初始化代码中，session_start()调用前单独设置当前站点的会话Cookie路径，实现会话完全隔离：

• 部署在/app1路径下的站点添加代码：

<?php
// 限定会话Cookie仅在/app1路径下生效
ini_set('session.cookie_path', '/app1/');
session_start();
// 后续业务代码
?>

• 部署在/app2路径下的站点添加代码：

<?php
ini_set('session.cookie_path', '/app2/');
session_start();
// 后续业务代码
?>

该方案下两个站点的会话Cookie完全互相不可见，不会出现会话共享问题，登出时调用session_destroy()也只会销毁当前站点的会话，不会影响另一个站点。

方案2：为不同站点设置独立的会话名称 #

修改每个站点的会话Cookie字段名，避免共用同一个PHPSESSID存储会话ID，同样需要在session_start()前调用：

• 站点A代码：

<?php
session_name('APP1_SESSID');
session_start();
?>

• 站点B代码：

<?php
session_name('APP2_SESSID');
session_start();
?>

方案3：会话变量前缀隔离（不推荐，仅适用于不能修改Cookie配置的场景） #

如果无法修改会话Cookie配置，可以给不同站点的会话键添加独立前缀，登出时仅清空对应前缀的会话变量，不要直接销毁整个会话：

• 站点A的所有会话变量统一添加app1_前缀，例如$_SESSION['app1_user_id']
• 站点B的所有会话变量统一添加app2_前缀，例如$_SESSION['app2_user_id']
• 站点登出逻辑示例：

<?php
session_start();
// 仅清空当前站点的前缀会话变量，不销毁整个会话
foreach ($_SESSION as $key => $value) {
    if (str_starts_with($key, 'app1_')) {
        unset($_SESSION[$key]);
    }
}
?>

注意事项 #

• 所有与会话配置相关的修改操作，必须放在session_start()之前执行才会生效
• 修改配置后需要清空浏览器对应域名的Cookie，避免旧的残留Cookie影响测试效果

内容的提问来源于stack exchange，提问作者user17230120