WebSocket握手后PHPSESSID与浏览器不一致的原因排查

这个问题我之前帮很多开发者排查过，核心原因在于你用原生Socket搭建的WebSocket服务器没有正确处理浏览器发送的Cookie信息，具体来拆解下：

主要原因 #

• 原生Socket服务端未手动解析HTTP握手请求的Cookie头
  你的服务端是用socket_create直接搭建的WebSocket服务器，而非通过Apache/Nginx这类常规Web服务器处理请求。这种情况下，PHP的$_COOKIE超全局变量不会自动填充，session_start()也无法读取浏览器发送的PHPSESSID——它会直接生成一个新的会话ID，自然和浏览器里的不一致。

• 客户端WebSocket连接未携带Cookie（同域场景下少见）
  同域下浏览器默认会在WebSocket握手请求中发送Cookie，但如果浏览器开启了严格的Cookie策略（比如禁用第三方Cookie，但这里是同域），或者客户端代码有特殊配置，可能导致Cookie未被发送。不过这种情况概率极低，优先排查服务端的解析问题。

解决步骤 #

1. 在服务端手动解析HTTP握手请求的Cookie #

当客户端发起WebSocket握手时，会发送包含Cookie的HTTP请求头。你需要手动读取并解析这个请求头，提取出PHPSESSID。示例代码如下：

// 读取客户端的握手请求缓冲区
$buffer = socket_read($client_socket, 1024);

// 匹配请求头中的Cookie字段
preg_match('/Cookie: (.*?)\r\n/', $buffer, $matches);
$cookieString = isset($matches[1]) ? $matches[1] : '';

// 将Cookie字符串解析为键值对数组
$cookies = [];
foreach (explode('; ', $cookieString) as $cookieSegment) {
    if (strpos($cookieSegment, '=') !== false) {
        list($key, $value) = explode('=', $cookieSegment, 2);
        $cookies[$key] = $value;
    }
}

// 获取浏览器传来的PHPSESSID
$clientSessionId = isset($cookies['PHPSESSID']) ? $cookies['PHPSESSID'] : '';

2. 手动初始化PHP会话（复用客户端的PHPSESSID） #

拿到客户端的PHPSESSID后，你需要先设置会话ID再启动会话，这样就能和浏览器的会话保持一致：

// 如果存在客户端传来的会话ID，先设置它
if (!empty($clientSessionId)) {
    session_id($clientSessionId);
}
// 启动会话
session_start();

// 现在$_SESSION就会对应浏览器中的会话数据了

额外注意事项 #

• 确保WebSocket连接是同域的（协议、域名、端口三者完全一致），否则浏览器可能会因为跨域Cookie策略限制而不发送Cookie。如果是跨域场景，需要在服务端配置CORS允许凭证，同时客户端可能需要特殊处理（不过跨域WebSocket的Cookie处理比较复杂，建议优先使用同域场景）。
• 原生Socket服务器必须正确完成WebSocket握手的所有步骤，比如生成并返回正确的Sec-WebSocket-Accept响应头，否则握手失败，Cookie也无法正常传递。

内容的提问来源于stack exchange，提问作者fullnitrous