PHP Session关闭浏览器即过期？如何实现仅用户点击注销时才过期

默认PHP关联SessionID的Cookie为会话级临时Cookie，没有设置固定过期时间，浏览器关闭后这类Cookie会被自动清除，下次打开时客户端无法传递之前的SessionID给服务端，自然会被判定为未登录状态，和服务端Session本身的存储周期没有直接关系。

1. 开启SessionCookie持久化 #

在所有Session操作（包括session_start()）之前配置Cookie参数，让存储SessionID的Cookie成为长期有效的持久Cookie，而非关浏览器就删除的临时Cookie：

// 脚本最顶部执行，确保在任何页面输出内容前运行
session_set_cookie_params([
    'lifetime' => 30 * 24 * 60 * 60, // Cookie有效期可按需调整，示例为30天
    'path' => '/',
    'domain' => $_SERVER['HTTP_HOST'],
    'secure' => !empty($_SERVER['HTTPS']), // HTTPS站点下仅通过加密连接传输Cookie
    'httponly' => true, // 禁止前端JS读取Cookie，降低XSS窃取SessionID的风险
    'samesite' => 'Lax'
]);

2. 同步调整服务端Session的存活周期 #

默认PHP的Session垃圾回收机制会自动清理超过阈值无访问的Session文件，要将服务端的Session存活时间和客户端Cookie的有效期保持一致，避免服务端提前删除有效Session：

// 与Cookie有效期匹配，设置Session文件最长存活30天
ini_set('session.gc_maxlifetime', 30 * 24 * 60 * 60);

// 多站点共享服务器场景下，建议为当前站点配置独立的Session存储目录
// 避免其他站点的垃圾回收逻辑误删当前站点的有效Session文件
// 注意提前创建对应目录，并给Web进程分配读写权限，否则会导致Session写入失败
session_save_path(__DIR__ . '/runtime/sessions');

// 配置完成后正式启动Session
session_start();

3. 完善主动注销的全链路销毁逻辑 #

用户点击注销时，需要同时完成三个操作才算真正销毁Session，不能仅清空$_SESSION数组的内容：

• 清空服务端当前Session的所有存储数据
• 主动删除客户端存储SessionID的Cookie
• 彻底销毁服务端对应的Session文件
  对应代码示例：

// 注销接口的核心逻辑
session_start();
// 清空Session内所有变量
$_SESSION = [];
// 主动清除客户端的SessionID Cookie
$cookieParams = session_get_cookie_params();
setcookie(
    session_name(),
    '',
    time() - 3600,
    $cookieParams['path'],
    $cookieParams['domain'],
    $cookieParams['secure'],
    $cookieParams['httponly']
);
// 销毁服务端存储的Session数据
session_destroy();

注意：不要为了实现持久登录将SessionID直接暴露在前端可读取的存储位置（如localStorage），会大幅提升XSS攻击窃取账号的风险，优先使用标准的HttpOnly持久Cookie方案。

内容的提问来源于stack exchange，提问作者prashant