同一服务器不同URL下PHP $_SESSION无法识别的技术求助

看起来你遇到的是同域名下不同子路径之间的会话共享问题，尤其是通过target="_blank"打开新窗口时，新页面无法读取原会话的$_SESSION['user']值。下面我会一步步分析原因并给出具体的修复方案：

核心原因分析 #

1. 会话Cookie的路径限制：默认情况下，PHP的session_start()会将会话Cookie的路径设置为当前脚本所在的目录（比如/control/user/）。这意味着只有该路径及其子路径下的页面才能读取这个Cookie，/b2b/user/下的页面自然拿不到会话ID，也就无法访问$_SESSION变量。
2. SameSite Cookie属性问题：当用target="_blank"打开新窗口时，如果会话Cookie的SameSite属性设置为Strict，浏览器会阻止Cookie发送到新窗口；即使是默认的Lax，在某些场景下也可能导致Cookie无法正常传递。
3. 多余跨域头干扰：你在页面开头设置了Access-Control-Allow-Origin，但同域名下的子路径请求不需要这个头，多余的设置可能会干扰Cookie的正常传递逻辑。

具体修复方案 #

1. 统一会话Cookie的全局配置 #

修改所有页面的会话启动代码，明确指定Cookie的路径为根目录/，让整个域名下的所有子路径都能读取到会话Cookie，同时配置合适的SameSite属性确保跨窗口传递正常：

替换原来的会话启动代码：

<?php 
if( !session_id() ) { 
    // 显式配置会话Cookie参数
    session_set_cookie_params([
        'lifetime' => 0, // 会话结束时过期，可根据业务需求调整
        'path' => '/', // 关键：设置为根路径，所有子路径共享Cookie
        'domain' => 'www.website.com', // 你的域名，确保准确
        'secure' => true, // 必须开启，配合SameSite=None（仅HTTPS环境）
        'httponly' => true, // 防止XSS窃取Cookie，建议开启
        'samesite' => 'None' // 允许跨窗口传递Cookie，适配target="_blank"场景
    ]);
    session_start(); 
} 
// 同域名下无需跨域头，移除这行
// header('Access-Control-Allow-Origin: https://www.website.com');
?>

注意：如果你的网站是HTTP环境，secure需设为false，SameSite可改为Lax（HTTP下None不安全，会被浏览器忽略）。

2. 优化verify.php的会话检查逻辑 #

当前verify.php在检测不到用户会话时直接销毁会话，这可能会意外影响原窗口的会话（虽然你提到原窗口未丢失，但逻辑上存在风险）。建议调整逻辑，优先确保会话正确启动，再做用户校验：

<?php
// 先确保会话使用统一配置启动
if( !session_id() ) { 
    session_set_cookie_params([
        'lifetime' => 0,
        'path' => '/',
        'domain' => 'www.website.com',
        'secure' => true,
        'httponly' => true,
        'samesite' => 'None'
    ]);
    session_start(); 
}

if( !isset($_SESSION['user']) ) { 
    // 不要销毁原会话（原窗口仍在使用）
    echo "<script>window.alert('Unauthorized access [SECTION OFF]!');</script>";
    echo "<script>window.location.href='home/';</script>"; // 用window.location代替parent，避免iframe场景问题
    exit(); 
}
?>

3. 适配AJAX请求的会话传递 #

对于JQuery的.ajax()请求，确保显式设置携带Cookie，避免跨域相关配置干扰：

$.ajax({
    url: 'https://www.website.com/b2b/user/verify.php',
    type: 'POST',
    xhrFields: {
        withCredentials: true // 确保请求携带会话Cookie，同域名下显式设置更保险
    },
    success: function(response) {
        // 处理响应逻辑
    }
});

4. 测试验证步骤 #

• 先清除浏览器所有Cookie，避免旧的会话配置干扰测试
• 在原标签页登录，确认$_SESSION['user']正常写入
• 用target="_blank"打开新窗口，访问/b2b/user/下的页面，检查verify.php是否能正确识别会话
• 测试AJAX请求，确认会话变量能正常读取

额外注意事项 #

• 所有涉及会话的页面必须使用完全相同的会话参数配置，避免不同页面的配置冲突
• 如果使用多服务器部署，需要将会话存储在共享介质（如Redis、Memcached）中，不要存在服务器本地文件，否则跨服务器的会话无法共享
• 定期清理服务器上的无效会话文件，避免资源浪费

内容的提问来源于stack exchange，提问作者ElvisP