Codeigniter主域名与子域名Session共享问题求助

嘿，这个跨子域共享Session的问题我碰过好多次了，给你整理几个实际能用的解决方案，都是项目里验证过的：

Session本质上靠Cookie传递Session ID，所以只要让Cookie能被主域名和子域名同时读取就行。核心就是把Cookie的Domain设为父域名（前面加个点），比如.maindomain.com，这样maindomain.com和subdomain.maindomain.com（哪怕你是subdomain.com，只要它是maindomain.com的子域就行）都能拿到这个Cookie。

举个PHP的配置例子：

// 先设置Cookie参数再启动Session
session_set_cookie_params([
    'lifetime' => 0, // 会话结束过期
    'path' => '/', // 全站有效
    'domain' => '.maindomain.com', // 关键！跨子域的核心
    'secure' => true, // 生产环境一定要开HTTPS才生效
    'httponly' => true, // 防止JS读取Cookie，提升安全性
    'samesite' => 'Lax' // 平衡安全和可用性
]);
session_start();

如果是Node.js/Express，配置类似：

app.use(session({
    secret: 'your-strong-secret-key',
    resave: false,
    saveUninitialized: false,
    cookie: {
        domain: '.maindomain.com',
        secure: true,
        httpOnly: true,
        sameSite: 'Lax'
    }
}));

⚠️ 注意：必须保证两个域名用的是同一种协议（全HTTP或全HTTPS），不然secure属性会导致Cookie无法传递。

如果不想依赖Cookie的Domain限制，或者以后要加更多子域名，那可以把Session数据存在共享存储里，比如Redis、Memcached或者数据库。主域名和子域名的应用都连接同一个存储服务，这样不管请求到哪个域名，都能从存储里拉取Session数据。

比如Node.js用Redis的例子：

const session = require('express-session');
const RedisStore = require('connect-redis').default;
const redis = require('redis');

// 连接Redis服务器
const redisClient = redis.createClient({
    host: 'your-redis-host',
    port: 6379,
    password: 'your-redis-password'
});
redisClient.connect().catch(console.error);

// 配置Session用Redis存储
app.use(session({
    store: new RedisStore({ client: redisClient }),
    secret: 'your-strong-secret-key',
    resave: false,
    saveUninitialized: false,
    cookie: {
        secure: true,
        httpOnly: true,
        sameSite: 'Lax'
        // 这里不用设置domain，只要两个应用连同一个Redis就行
    }
}));

这个方案的好处是扩展性强，哪怕以后加N个子域名，只要连同一个Redis就能共享Session；缺点是需要额外维护存储服务（比如Redis的部署、备份）。

这个方法简单但风险高，只适合测试环境或者非敏感场景。思路是登录后跳转时，把Session ID作为URL参数拼到主域名的链接里，比如从subdomain.com/dashboard跳转到maindomain.com/?sid=xxxxxx，然后主域名的应用读取这个参数去获取Session数据。

⚠️ 强烈不建议生产环境用：Session ID会暴露在URL里，容易被劫持、日志记录，安全性极低。

• 浏览器的Cookie设置：确保用户没有禁用Cookie，不然所有依赖Cookie的方案都失效。
• 端口问题：如果两个域名用了不同的非标准端口（比如8080、3000），有些浏览器可能会限制Cookie共享，尽量用80/443端口。
• 跨域政策：如果主域名和子域名的前端是不同的应用，还要注意CORS配置，允许跨域请求携带Cookie（设置withCredentials: true）。

内容的提问来源于stack exchange，提问作者twister787