根本原因是权限数据未统一缓存或读写逻辑不一致，Session仅存user_id，权限校验却依赖本地数据库或未同步的Redis缓存，导致多服务器间权限不一致。
为什么 Redis 共享 Session 后权限还是不一致
根本原因不是 Session 没共享，而是权限数据（如角色、菜单、接口白名单）没走同一份缓存源，或者写入/读取逻辑没对齐。Session 里通常只存 user_id 或 auth_token，真正的权限判断往往依赖额外的缓存查询或数据库查表——这部分最容易被忽略。
常见错误现象：login 后在 A 服务器能访问「订单管理」，切到 B 服务器就提示「无权限」；或者后台改了用户角色，前端刷新后权限没变。
- 权限校验逻辑仍调用本地
Db::table('role_access')查库，而非统一读 Redis 中预热的permission:uid:123结构 - 管理员在 A 服务器修改用户角色，但没触发
Cache::delete('permission:uid:123')，B 服务器继续读旧缓存 - 不同服务器部署时，
cache.php配置中'default' => 'redis'没生效，部分请求回退到file驱动
ThinkPHP 的 Redis Session 配置必须关掉 session.auto_start
TP 默认开启自动启动 Session，但分布式下若多个请求并发写同一个 PHPSESSID，Redis 的 SETNX 锁机制可能引发阻塞或覆盖。必须手动控制 Session 生命周期。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 在
app/middleware.php中移除SessionInit中间件，或注释掉think\middleware\SessionInit::class - 在需要鉴权的控制器基类（如
BaseController）中显式调用session()->start() - 确保
config/session.php中'type' => 'redis'，且'host'指向统一 Redis 实例，不要用127.0.0.1（多容器时会连错） - 避免在
__construct()中读session('user_id')—— 此时 Session 尚未初始化，返回空
权限数据必须用「用户维度键名 + 时间戳版本号」双层结构缓存
单纯用 permission:uid:123 当 key，一旦权限变更，所有相关服务需同步删 key。但分布式节点之间没有广播机制，容易漏删。加版本号可让各节点自动淘汰旧数据，无需强一致性删除。
示例结构：
# 写入时
$version = (int)Cache::get('permission:version:uid:123', 0) + 1;
Cache::set('permission:version:uid:123', $version, 3600);
Cache::set("permission:uid:123:v{$version}", $data, 3600);
<h1>读取时</h1><p>$version = Cache::get('permission:version:uid:123', 0);
$data = Cache::get("permission:uid:123:v{$version}");
if (!$data) {
// 触发重新生成并更新 version
}</p>- 版本号本身也缓存 1 小时，避免频繁查 DB 获取最新版
- 每次权限变更（增删角色、分配菜单）都必须原子性地递增
permission:version:uid:123并写新 key - 不要用
hGetAll存整个权限树——Redis Hash 在大字段下序列化/反序列化开销高，改用 JSON 字符串更稳
中间件里验证权限前，先检查 Session 是否真正来自 Redis
线上偶发「登录态丢失」，其实是 Nginx 或 LB 把请求打到了还没完成 Redis 初始化的实例上，导致 session_id() 返回空，进而误判为未登录。
安全做法是在权限中间件开头加一层探测：
- 调用
session()->getId()，如果为空或长度异常（如不是 32 位字符串），直接返回 401 - 用
Cache::store('redis')->get('think:session:'.$session_id)手动查一次 Redis，确认该 session key 真实存在且未过期 - 禁止用
session('user_id') === null判断登录态——它可能只是没 set 过，不代表 session 无效 - 如果项目用了
think-swoole，注意 Swoole Worker 进程复用会导致 Session 数据跨请求污染，必须在每个请求开始时调用session()->clear()再重载
最麻烦的点在于：权限同步不是单点配置问题，而是 Session、权限缓存、DB 更新、中间件执行顺序四者耦合。任何一个环节没对齐时间窗口，就会出现「看起来登了，但没权」「改了权，要等一分钟才生效」这类问题。
