PHP SESSION异常求助：用户无需登录进入他人账号且登出失效

嘿，遇到这种用户串号、登出失效的Session问题真的头大，尤其是之前运行好好的突然出状况——结合你说的基于PHP Sessions+Facebook登录的场景，我给你梳理几个最可能的排查方向和修复方案：

这类串号问题80%都和Session的存储机制或者ID生成逻辑有关：

• 默认文件存储的冲突风险：如果你们用的是PHP默认的文件存储Session，先检查这几个点：
  • 最近有没有调整过session.save_path的权限？权限不对会导致Session文件无法正确写入/读取，进而出现串号。
  • 有没有开启session.use_strict_mode？如果没开，服务器可能生成重复的Session ID，或者恶意请求能伪造ID。赶紧在代码开头加上：

    ini_set('session.use_strict_mode', 1);
    session_start();
    

  • 如果服务器用了共享存储（比如NFS）存Session文件，多进程并发读写时很容易出现数据覆盖，建议换成Redis/Memcached这类分布式存储，或者开启Session锁的优化。
• 分布式存储的配置漏洞：如果已经用了Redis/Memcached存Session，检查：
  • Session ID的生成是否有冲突？比如Redis的键名是否正确（有没有加前缀区分不同环境）？
  • 登出时有没有同时删除服务器端的Session数据？比如Redis里的对应键有没有过期或删除？

你的登录流程包含Facebook OAuth回调，这里很容易出现Session没有正确重置的问题：

• 登录必须重置Session：用户登录（包括Facebook回调成功后），一定要先销毁旧Session再生成新的ID，不能直接复用旧Session！比如：

  // 登录验证通过后，先清空旧会话
  session_start();
  session_destroy();
  // 生成新的Session ID，同时删除旧的Session文件
  session_regenerate_id(true);
  session_start(); // 重新初始化新会话
  // 再绑定当前用户的信息
  $_SESSION['user_id'] = $db_user_id;
  $_SESSION['facebook_id'] = $fb_user_id;
  

  要是不重置Session，当多个用户的请求并发时，很容易把A用户的数据写到B用户的Session里。
• 登出逻辑要彻底：部分用户无法登出，大概率是登出流程只清了Session里的用户数据，没处理客户端Cookie和服务器端Session：

  session_start();
  // 清空Session里的所有数据
  $_SESSION = array();
  // 删除客户端的Session Cookie（注意路径要和设置Session时一致）
  if (isset($_COOKIE[session_name()])) {
      setcookie(session_name(), '', time() - 42000, '/');
  }
  // 销毁服务器端的Session文件/存储
  session_destroy();
  

因为之前运行数月正常，最近一周才出问题，优先查最近的调整：

• PHP版本或配置更新：有没有升级过PHP？某些PHP版本（比如7.4.x的部分小版本）存在Session锁的bug，会导致并发下数据串用。
• 负载均衡配置变更：如果用了负载均衡，有没有开启「会话粘滞（Sticky Session）」？要是没开，用户的请求可能被分发到不同服务器，而Session没同步的话就会串号。
• CDN/缓存插件的干扰：有没有新增CDN或者缓存插件？如果缓存了带Session ID的页面，会导致不同用户拿到同一个Session ID，直接串号。检查是否缓存了登录后的页面，或者Cookie被CDN篡改。

如果近期网站流量上涨，并发请求变多，默认的Session文件锁会导致请求阻塞，进而出现数据覆盖：

• 尽量在完成Session读写后立即释放锁，用session_write_close()：

  session_start();
  // 读取/写入必要的Session数据
  $current_user = $_SESSION['user_id'];
  // 立即关闭Session，释放文件锁
  session_write_close();
  // 后续业务逻辑不需要Session的话就不用再打开
  

  这样能减少多个请求同时锁同一个Session文件的概率。

内容的提问来源于stack exchange，提问作者click_twice