ThinkPHP用Redis存Session需配置session_type为redis、写全Redis连接参数、设非默认key前缀；RedisToken适合需实时管控场景，JWT适合无状态API；Redis故障时TP不自动降级，须手动健康检查与兜底。
ThinkPHP 怎么用 Redis 存 Session
默认的文件型 Session 在分布式部署下直接失效，因为不同服务器无法共享文件。必须切到 Redis——不是加个配置就行，关键在 session_handler 和 redis_host 的实际连通性。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 确认
thinkphp/library/think/cache/driver/Redis.php存在且可用（5.1+ 默认带，6.x 需检查是否被覆盖） -
session_type必须设为redis，不能只配cache_type - Redis 连接参数要写全：
redis_host、redis_port、redis_password（空密码也得显式写''，否则会报NOAUTH Authentication required） - Session key 前缀别用默认
think_session:，多个项目共用 Redis 时容易冲突，建议改成tp_appname_session:
RedisToken 和 JWT 在 ThinkPHP 里怎么选鉴权方式
RedisToken 是服务端有状态的 token：登录后存进 Redis，每次请求校验存在性和有效期；JWT 是无状态的，token 自带签名和 payload，服务端只验签不查库。两者不是“谁更好”，而是“谁更匹配你的部署结构”。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 用 RedisToken：适合需要实时踢人、修改权限立刻生效、或 Redis 已稳定承载 Session 的场景；注意
redis_expire要比前端 token 过期时间多留 1–2 分钟，避免因网络延迟导致刚续期就失效 - 用 JWT：适合纯 API 服务、横向扩缩容频繁、不想强依赖 Redis 的情况；但要注意
think-jwt类库默认不校验nbf字段，若前端传了未来时间的nbf，可能跳过验证，需手动加if (isset($payload['nbf']) && time() - 别混用：同一个系统里既存 Redis 又发 JWT，等于双倍维护成本，且刷新逻辑极易出错
分布式环境下 Session ID 泄露和重复登录怎么防
负载均衡器没做 sticky session，用户请求随机打到不同机器，但 PHPSESSID 还是那个，Redis 里却查不到——这不是配置问题，是 Session ID 被复用或未及时销毁。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 登录成功后必须调用
session_regenerate_id(true)（TP 封装为session()->regenerate()），否则旧 ID 仍有效，攻击者截获就能冒用 - 登出时不仅要删 Redis 里的 key，还要调用
session_destroy()+setcookie('PHPSESSID', '', time()-3600)，否则浏览器 cookie 还带着旧 ID，下次请求又自动重建 - 前端不要把
PHPSESSID放在 URL 里传（比如?PHPSESSID=xxx），会被日志、代理缓存，直接暴露
Redis 连接失败时 TP 的降级行为靠谱吗
ThinkPHP 默认不会 fallback 到 file session，一旦 Redis 不可用，session_start() 抛 RedisException，整个请求 500。所谓“自动降级”只是文档错觉。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 上线前必须加 Redis 健康检查：在
app/common.php或中间件里用try { $redis->ping(); } catch (\RedisException $e) { Log::error('Redis unreachable'); exit('Service unavailable'); } - 不要依赖
cache.driver = redis同时管住 Session 和 Cache——Session 失败不可接受，Cache 失败可以容忍，应拆成两个独立连接配置 - 如果真要兜底，得自己写 Session 驱动继承
think\Cache，在read()里捕获异常后返回空数组，再 fallback 到File驱动，但这样就失去分布式意义了
Redis 连接池、超时时间、序列化方式这些细节，看着像配置项，其实一个不对，session_write_close() 就卡住几秒，用户端直接超时。别等压测才发现。
