PHP Session执行session_destroy后无法正常登出问题求助

问题核心原因 #

• session_destroy()仅会销毁服务端存储的当前会话数据，不会清空客户端保存的session cookie，也不会清空当前请求内存中的$_SESSION变量。新旧系统部署路径、域名不同，会话cookie的作用域（domain、path）配置存在差异，新版系统下客户端残留的session cookie会在后续访问时重新发起有效会话，导致登出不生效
• 原有登出代码没有在跳转后终止代码执行，可能存在后续逻辑恢复会话的风险
• 新旧系统的PHP会话配置、会话存储介质不一致，也会导致相同代码运行效果不同

修复方案 #

修正登出逻辑代码 #

<?php
// 开启输出缓冲区，避免提前输出导致header跳转失败
ob_start();
session_start();

// 清空当前请求内存中的会话变量
$_SESSION = [];

// 清除客户端存储的会话cookie
if (ini_get("session.use_cookies")) {
    $cookie_params = session_get_cookie_params();
    setcookie(
        session_name(),
        '',
        time() - 3600 * 24,
        $cookie_params["path"],
        $cookie_params["domain"],
        $cookie_params["secure"],
        $cookie_params["httponly"]
    );
}

// 销毁服务端会话数据
session_destroy();

// 跳转后立即终止代码执行，避免后续逻辑意外恢复会话
header("Location: h.php");
exit();
?>

额外排查点 #

• 核对新旧系统的PHP会话配置，重点确认session.cookie_domain、session.cookie_path参数是否和新版系统的域名、部署路径匹配
• 检查h.php的跳转逻辑，确认该页面不会自动读取残留的会话信息自动恢复登录状态
• 确认新版系统登出逻辑没有被服务端缓存、CDN缓存，实际运行的是最新修改后的代码
• 若新版系统更换了会话存储介质（如从文件存储改为Redis、数据库存储），确认session_destroy()方法可正确销毁对应介质中的会话数据

内容的提问来源于stack exchange，提问作者bobbyjohnson