浏览器关闭后如何通过Cookie恢复用户会话？PHP会话与Cookie问题求助

你的问题核心在于当浏览器关闭后Session失效，你没有利用已存在的Cookie重新初始化Session并正确赋值$userLoggedIn。原代码里，当Session不存在但Cookie存在时，$userLoggedIn还是尝试从$_SESSION['username']取值，而此时Session已经为空，自然会出现"username未定义"的错误。

下面是具体的修复步骤和代码：

1. 确保Session已启动 #

首先，在header.php的最顶部必须添加session_start();，所有Session操作都依赖它，没有启动的话Session相关变量根本无法使用。

2. 重构登录状态恢复逻辑 #

我们需要先检查Session是否有效，如果无效，再检查Cookie是否存在，然后用Cookie中的信息重新建立Session并验证用户身份：

// 必须放在最顶部，确保Session启动
session_start();

// 初始化用户变量
$userLoggedIn = null;
$user = null;

// 优先检查Session是否有用户信息
if (isset($_SESSION['username'])) {
    $userLoggedIn = $_SESSION['username'];
} 
// Session失效时，检查Cookie是否存在
elseif (isset($_COOKIE['lion123_rmbr_usrnm'])) {
    // 从Cookie中获取用户名
    $cookieUsername = $_COOKIE['lion123_rmbr_usrnm'];
    
    // 安全验证：从数据库查询用户信息，确保Cookie中的用户名是合法存在的
    // 注意：这里一定要使用预处理语句，防止SQL注入！
    $user_details_query = mysqli_prepare($con, "SELECT * FROM users WHERE username = ?");
    mysqli_stmt_bind_param($user_details_query, "s", $cookieUsername);
    mysqli_stmt_execute($user_details_query);
    $result = mysqli_stmt_get_result($user_details_query);
    $user = mysqli_fetch_array($result);
    
    // 如果用户存在，重新初始化Session
    if ($user) {
        $userLoggedIn = $user['username'];
        $_SESSION['username'] = $userLoggedIn;
        // 可以顺便更新Cookie的过期时间，延长免登录有效期
        $expire_time = time() + 86400;
        setcookie("lion123_rmbr", $user['email'], $expire_time);
        setcookie("lion123_rmbr_usrnm", $user['username'], $expire_time);
    }
}

// 最后判断用户是否已登录
if (!$userLoggedIn) {
    header("Location: register.php");
    exit; // 跳转后必须终止脚本执行
}

3. 关键修复点说明 #

• Session启动：session_start()必须放在所有输出之前，是Session操作的前提。
• Cookie验证：不要直接信任Cookie中的内容，必须通过数据库验证用户是否存在，避免恶意篡改Cookie导致的安全问题。
• 重新初始化Session：当通过Cookie验证用户合法后，要重新给$_SESSION['username']赋值，这样后续的页面逻辑就能正常使用Session中的用户信息了。
• SQL注入防护：原代码直接把变量拼进SQL语句，存在严重的SQL注入风险，改用预处理语句可以彻底避免这个问题。

额外优化建议 #

• 可以给Cookie添加httponly和secure属性，提升安全性：

  setcookie("lion123_rmbr", $email, $expire_time, "/", "", true, true);
  setcookie("lion123_rmbr_usrnm", $username, $expire_time, "/", "", true, true);
  

  其中true分别代表secure（仅HTTPS传输）和httponly（禁止JS读取Cookie，防止XSS攻击）。

内容的提问来源于stack exchange，提问作者user9041892