Node.js能否读取PHP用户会话以实现跨应用登录态校验？

Node.js 完全可以读取PHP的Session数据实现登录态互通，且全程在服务端完成校验，彻底避免客户端篡改身份的问题，以下是三种可行的落地方式：

方案1：通过共享缓存读取Session（生产环境首选，性能最优） #

PHP默认的Session存储为本地文件，你可以先修改PHP配置将Session存入Redis/Memcached这类共享缓存：

• 修改php.ini配置：

  session.save_handler = redis
  session.save_path = "tcp://127.0.0.1:6379"
  

  配置完成后PHP会自动将所有Session数据写入Redis，无需修改业务代码。
• 用户访问Node.js应用时，Node.js服务端先读取请求Cookie中的PHPSESSID值
• 用PHPSESSID作为键去Redis中查询对应的Session数据，通过php-unserialize这类工具包解析PHP序列化后的Session内容，即可直接拿到可信的用户名、用户ID等登录信息。

方案2：直接读取PHP本地Session文件（适合单机部署的测试场景） #

如果不想修改现有PHP的Session存储配置，且PHP和Node.js部署在同一台服务器，可以直接读取Session文件：

• 先从php.ini中找到session.save_path对应的目录，PHP存储的Session文件命名规则为sess_<PHPSESSID>
• Node.js服务端拿到Cookie中的PHPSESSID后，读取对应Session文件的内容，反序列化后即可得到用户信息
• 该方案仅适合单机测试使用，分布式部署时无法通用，且文件读写性能远低于缓存方案，不推荐生产环境使用。

方案3：PHP提供内部校验接口（兼容性最高，无需改老项目配置） #

如果不想调整原有PHP的任何基础配置，可以通过接口转发的方式完成身份校验：

• 在PHP论坛项目中新增一个内部接口，例如/internal/get_current_user，该接口会自动校验当前请求的Session有效性，验证通过后返回包含用户名、用户ID、过期时间的加密签名数据，签名密钥仅PHP和Node.js两个服务知晓。
• Node.js服务端拿到用户请求中的PHPSESSIDCookie后，携带该Cookie请求上述PHP内部接口，校验返回数据的签名合法后，即可信任对应的用户身份。

安全注意事项 #

• 所有身份校验逻辑必须在服务端完成，绝对不可信任客户端提交的用户名、用户ID等身份字段，你目前使用的客户端注入PHP变量的方案存在伪造身份的严重风险，必须下线。
• 配置PHP的PHPSESSIDCookie为HttpOnly属性，避免XSS攻击窃取SessionID。
• 若使用Redis存储Session，需禁止Redis对公网开放，做好内网权限控制，避免Session数据泄露。

内容的提问来源于stack exchange，提问作者Cain Nuke