如何防止CodeIgniter会话在浏览器关闭时被销毁？

你提到的默认会话随浏览器关闭失效是完全正确的——这是PHP原生会话和CodeIgniter默认配置的常规行为，但你完全不用自己造轮子，通过调整框架配置就能实现持久化会话，也有原生安全存储用户数据的方式。下面一步步给你讲清楚：

一、让会话持久化（避免浏览器关闭就销毁） #

只设置sess_expiration确实不够，你需要配合调整几个关键配置项，才能让会话按你设定的时间到期，而不是随浏览器关闭失效：

• 核心配置：关闭浏览器不销毁会话
  把$config['sess_expire_on_close']从默认的TRUE改成FALSE，这是让会话持久化的关键——它决定会话Cookie是否在浏览器关闭时过期，改成FALSE后，Cookie会遵循你设置的sess_expiration时间来失效。
• 确认会话过期时间
  你已经设置的$config['sess_expiration'] = 60 * 60 * 24 * 365;（一年）没问题，这是会话数据在服务器端的过期时间，保持即可。
• 推荐使用数据库存储会话
  比起默认的文件驱动，数据库驱动更安全可靠，也更容易排查问题。设置$config['sess_driver'] = 'database';，并确保你已经按照框架文档建好会话表（默认表名ci_sessions）。
• 其他辅助配置
  根据你的需求调整$config['sess_match_ip']（是否严格匹配IP，开启会影响多设备登录）、$config['sess_time_to_update']（会话ID自动更新间隔，默认5分钟，是安全防护措施）。

修改后的关键配置示例：

$config['sess_driver'] = 'database';
$config['sess_cookie_name'] = 'ci_session';
$config['sess_expiration'] = 31536000; // 一年
$config['sess_save_path'] = 'ci_sessions'; // 数据库会话表名
$config['sess_match_ip'] = FALSE;
$config['sess_time_to_update'] = 300;
$config['sess_expire_on_close'] = FALSE; // 核心配置
$config['sess_regenerate_destroy'] = TRUE;

二、安全存储用户数据（原生方式） #

CodeIgniter的会话库本身就是安全的，完全不用自己构建Cookie追踪系统：

• 优先用会话库存储用户数据
  用$this->session->set_userdata('key', 'value')存储用户数据，框架会自动把敏感数据存在服务器端（文件/数据库），Cookie里只存加密后的会话ID，避免数据泄露。只要你设置了$config['encryption_key']，会话ID会自动加密，防止伪造。
• 少量非敏感数据存Cookie的正确方式
  如果确实需要把昵称这类非敏感数据存在Cookie里，用框架的Cookie辅助函数，同时开启加密：
  1. 先加载辅助函数：$this->load->helper('cookie');
  2. 设置加密Cookie：

  $cookie = array(
      'name'   => 'user_nickname',
      'value'  => 'JohnDoe',
      'expire' => 31536000,
      'domain' => '.yourdomain.com', // 可选，支持跨子域
      'path'   => '/',
      'secure' => TRUE, // 生产环境推荐开启，仅HTTPS传输
      'httponly' => TRUE // 防止JS读取，提升安全性
  );
  set_cookie($cookie);
  

  同样要确保$config['encryption_key']已配置，Cookie值会自动加密存储。

三、额外注意事项 #

• 修改配置后，记得清除浏览器旧的会话Cookie和缓存，再测试登录，关闭浏览器重新打开验证会话是否保留。
• 敏感数据（如密码、权限等级）绝对不要存在Cookie里，一定要存在服务器端的会话存储中。
• 不要关闭会话ID自动更新的配置，这是防止会话劫持的重要安全措施。

内容的提问来源于stack exchange，提问作者Nathanael