PHP Session 数据默认存于服务器文件系统（如/tmp目录），每个session_id对应一个序列化$_SESSION数组的文件；可通过session_save_handler切换为Redis等存储。
PHP Session 的核心是通过服务端存储用户状态，配合客户端 Cookie 传递唯一标识（session_id），实现跨请求的上下文保持。面试中常考的不是“怎么用”，而是“为什么这样设计”“数据存在哪”“怎么保证安全”。
Session 数据存在哪里？
默认存在服务器文件系统（/tmp 目录下），每个 session_id 对应一个独立文件（如 sess_abc123...）。文件内容是序列化后的 $_SESSION 数组（用 serialize() 格式，非 JSON）。
A powerful memory management system powered by ReMe that provides persistent cross-session memory, automatic user preference application, and intelligent context compression for OpenClaw.
下载
由 ReMe 驱动的记忆管理系统，支持跨会话记忆持久化、自动应用用户偏好以及智能上下文压缩...
可通过 session_save_handler 切换存储方式：数据库（MySQL/Redis）、Memcached、甚至自定义 handler。Redis 是高频替代方案——速度快、支持过期自动清理、天然适合分布式环境。
Session ID 怎么生成和传递？
- 首次访问时，PHP 调用 session_start() 自动生成 32 位十六进制字符串（基于加密随机数，如 /dev/urandom）
- 默认通过 Set-Cookie 响应头写入客户端，Cookie 名为 PHPSESSID（可由 session.name 配置）
- 后续请求中，浏览器自动带上该 Cookie；PHP 读取并匹配服务端对应文件，还原 $_SESSION
- 也可禁用 Cookie，改用 URL 参数（session.use_cookies=0 + session.use_trans_sid=1），但不推荐——不安全且影响 SEO
Session 安全关键点有哪些？
- 防止会话固定（Session Fixation）：登录成功后必须调用 session_regenerate_id(true)，销毁旧 session 文件并生成新 ID
- 防止会话劫持（Session Hijacking）：启用 session.cookie_httponly=1（JS 无法读取）、session.cookie_secure=1（仅 HTTPS 传输）
- 避免会话泄露：不要在日志、URL、错误信息中打印 session_id；关闭 session.hash_function 的弱哈希（如 md5）
- 合理设置过期：session.gc_maxlifetime 控制服务端文件存活时间；客户端 Cookie 过期由 session.cookie_lifetime 决定（0 表示浏览器关闭即失效）
常见误区与调试技巧
- “session_start() 必须在输出之前调用”——本质是因它要发送 Set-Cookie 头，而 HTTP 头必须在 body 前发送
- $_SESSION 不是实时同步的：修改后需等脚本结束或显式调用 session_write_close() 才写入磁盘/Redis
- 调试时可用 session_id() 查当前 ID，session_status() 看是否已启动，ini_get('session.save_path') 查存储路径
- 并发写入问题：同一 session_id 的多个请求可能相互覆盖。高并发场景建议尽早调用 session_write_close() 释放锁
