PHP CMS登录后其他脚本无法读取SESSION问题及跨脚本登录咨询

这种单脚本登录后其他脚本会话变量异常的情况，我之前做CMS开发时也碰到过，大概率是会话初始化不统一或者校验逻辑有遗漏，给你几个具体的排查和解决步骤：

• 确保所有需要会话的脚本都正确启动会话
  别只在login.php里调用session_start()，其他CMS功能页面的最顶部（任何输出之前，包括空格、HTML标签）必须也调用它。最好把会话初始化逻辑抽成一个公共配置文件，比如config.php，所有脚本开头都引入：

  // config.php
  ini_set('session.use_only_cookies', 1);
  // 额外添加安全配置，降低会话劫持风险
  ini_set('session.cookie_httponly', 1);
  ini_set('session.cookie_secure', isset($_SERVER['HTTPS'])); // 启用HTTPS时开启
  define('SESSION_TIMEOUT', 3600); // 全局定义会话超时时间，示例为1小时
  session_start();
  

  然后其他脚本开头统一写require_once 'config.php';，保证所有脚本的会话配置完全一致。

• 统一SESSION_EXPIRY的校验与更新逻辑
  登录成功后设置$_SESSION['SESSION_EXPIRY'] = time() + SESSION_TIMEOUT;没问题，但其他脚本检查时，要先确认会话核心标识（比如用户ID）是否存在，再判断过期时间：

  // 其他脚本初始化部分（引入config.php之后）
  if (!isset($_SESSION['user_id']) || !isset($_SESSION['SESSION_EXPIRY'])) {
      // 未登录或会话无效，跳转至登录页
      header('Location: login.php');
      exit;
  }
  
  // 检查会话是否过期
  if (time() > $_SESSION['SESSION_EXPIRY']) {
      // 过期则销毁会话
      session_unset();
      session_destroy();
      header('Location: login.php?expired=1');
      exit;
  }
  
  // 可选优化：用户每次活跃操作时刷新过期时间，提升使用体验
  $_SESSION['SESSION_EXPIRY'] = time() + SESSION_TIMEOUT;
  

  这里要确保SESSION_TIMEOUT是全局常量，避免不同脚本定义不同值导致逻辑混乱。

• 排查会话Cookie的一致性
  有时候Cookie的路径、域名设置错误，会导致其他脚本读不到会话ID。可以在login.php和其他脚本里都打印session_get_cookie_params()查看参数是否一致：

  var_dump(session_get_cookie_params());
  

  如果是跨子域名部署（比如login.yourcms.com和admin.yourcms.com），需要在config.php里补充设置：

  ini_set('session.cookie_domain', '.yourcms.com'); // 注意域名前的点
  

• 检查服务器会话存储权限
  如果以上都没问题，可能是服务器的会话存储目录权限不足，导致会话数据无法持久化。可以打印session_save_path()查看存储路径，然后确认该目录是否给PHP运行用户（比如www-data）分配了写权限，权限设置为700较为安全。

按这几步排查下来，基本就能解决跨脚本会话变量异常的问题了。

内容的提问来源于stack exchange，提问作者mrmut