PHP会话变量保存异常：跨页面跳转后SESSION值丢失如何修复

问题根因 #

• 第一，文件引入顺序错误：你将form_root.php先于session.php引入到index_root.php中，执行form_root.php内的POST逻辑时还没有调用过session_start()，根本读不到已有的会话数据，给$_SESSION赋值自然也不会持久化到会话中。
• 第二，session_start()调用时机错误：session_start()必须在代码最开头、任何输出（包括隐式的空格、UTF-8 BOM头）之前调用，重复调用session_start()也会导致会话数据异常，PHP 7+ 中重复调用还会抛出E_NOTICE级错误。
• 第三，冗余逻辑引入异常：你之前通过表单传递ss_user再重新赋值给会话属于完全不必要的操作，反而可能覆盖原有合法的会话值，增加出错概率。

修复方案 #

第一步：统一会话初始化逻辑 #

所有需要会话控制的入口页面，第一行代码就引入session.php，不要在其他任何文件中调用session_start()，session.php的代码固定为：

<?php
// 此处不能有任何前置输出，包括PHP标签外的空格、UTF-8 BOM头
session_start([
    'cookie_httponly' => true, // 增加会话安全性，避免XSS窃取cookie
    'cookie_secure' => isset($_SERVER['HTTPS']), // HTTPS环境下开启
    'use_strict_mode' => true // 防范会话固定攻击
]);
if (!isset($_SESSION['ss_user'])) {
    header("Location: index.php");
    exit();
}
?>

第二步：修正文件引入顺序 #

在index_root.php的最开头先引入session.php，之后再引入form_root.php，示例顺序：

<?php
// 第一行优先引入会话控制，绝对不要把其他引入放在它前面
require 'session.php';
require 'form_root.php';
// 后续其他业务代码
?>

第三步：清理冗余逻辑 #

删除form_root.php、其他业务文件中的所有session_start()调用，删除表单中传递ss_user的隐藏字段逻辑，form_root.php的代码简化为：

<?php
if (isset($_POST['sent_user']) && $_POST['sent_user'] == 'user') {
    // 此时会话已经初始化，直接读写$_SESSION即可
    $_SESSION['entity_info'] = substr($_SERVER["REQUEST_URI"], strrpos($_SERVER["REQUEST_URI"], "=" ) + 1);
    header("Location: info_user.php");
    // 跳转后必须加exit终止后续逻辑
    exit();
}
?>

第四步：排查额外异常点 #

如果还有问题，依次检查：

• 所有PHP文件是否为UTF-8无BOM编码，PHP起始标签<?php前面有没有空格、空行
• 服务器会话存储目录（默认是/tmp）有没有写入权限，磁盘是否已满
• 跳转时域名是否一致，比如从www.xxx.com跳转到xxx.com会导致会话cookie不匹配，即使会话ID相同也读不到对应数据

更规范的会话管理方案 #

• 所有请求走单一入口路由，不要分散入口，避免每个文件都要处理会话引入的问题
• 权限验证不要仅依赖ss_user存在就放行，每次重要请求都要从数据库/缓存校验当前用户的合法性
• 统一配置会话过期时间，不要使用默认的浏览器关闭就过期的配置
• 重要操作后做会话ID重置，比如登录后调用session_regenerate_id(true)防范会话固定攻击

内容的提问来源于stack exchange，提问作者Álex