PHP登录系统中$_SESSION全局变量为空，登录验证失败排查

兄弟，我看了你的问题和代码，这种会话为空的坑我之前也踩过好几次，结合你的场景，大概率是这些容易漏掉的小问题：

1. session_start()必须放在任何输出之前！ #

看你的results.php代码，开头先输出了一堆<head>标签，之后才调用session_start()——这绝对是核心问题！PHP的会话初始化需要发送Cookie HTTP头，而一旦你输出了哪怕一个HTML标签、空格甚至换行，HTTP头就已经发送出去了，session根本没法正常初始化，自然读不到任何会话数据。

赶紧把results.php的session_start()移到最最开头，连空格都不能有：

<?php session_start(); ?>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Results</title>
<meta name="viewport" content="width=device-width, initial-scale=1" />
<link rel="stylesheet" href="assets/css/style.css" />
<?php
// 这里再写后续的登录判断逻辑
?>

2. 检查session_regenerate_id()的使用 #

你在登录成功后调用了session_regenerate_id()，这个操作是对的（防止会话固定攻击），但默认情况下它只会生成新ID，旧会话的处理可能有隐患。建议加上true参数，确保生成新ID的同时销毁旧会话并保留数据：

session_regenerate_id(true);
$_SESSION['email'] = $email;

3. WordPress的会话冲突要排查 #

服务器上跑着WordPress，它本身也会用会话系统，很可能它的初始化逻辑提前输出了内容，或者修改了会话配置，导致你的自定义会话没法正常工作。可以在login.php和results.php开头先重置会话配置，再启动会话：

<?php
// 重置会话配置为默认，避免WordPress干扰
ini_set('session.use_cookies', 1);
ini_set('session.use_only_cookies', 1);
session_start();
?>

4. 会话存储目录的权限问题 #

虽然你说session功能可用，但有时候自定义的会话存储目录权限不足，PHP没法写入会话文件，自然读不到数据。可以在login.php里加一行看看当前会话存储路径：

var_dump(session_save_path());

然后去这个目录下看看，登录成功后有没有生成对应的会话文件，文件里有没有序列化的会话数据。如果没有，给这个目录添加PHP进程用户（比如www-data）的读写权限就行。

5. 浏览器Cookie的锅 #

用户浏览器如果禁用了Cookie，或者会话Cookie被拦截，也会导致会话断档。可以在login.php登录成功后打印$_COOKIE看看有没有PHPSESSID，在results.php里也检查这个Cookie是否存在。另外，如果你的网站和WordPress在同一个域名下，Cookie的path或domain设置冲突也会有问题，可以手动指定会话Cookie参数：

session_set_cookie_params([
    'lifetime' => 0,
    'path' => '/',
    'domain' => $_SERVER['HTTP_HOST'],
    'secure' => false, // 要是HTTPS网站就改成true
    'httponly' => true,
    'samesite' => 'Lax'
]);
session_start();

最后提个小细节：你的results.php里的登录判断逻辑有点小问题，如果$_SESSION['email']不存在，$email变量就没定义，会报Notice错误，改成这样更稳妥：

if(!isset($_SESSION['email']) || empty($_SESSION['email'])){
    echo "You're not an authorized user. Please <a href='./index.php'>login</a>.<br />";
    exit();
}
$email = $_SESSION['email'];

内容的提问来源于stack exchange，提问作者Sam