ThinkPHP Ajax请求Session丢失的根本原因是客户端未发送Cookie凭证且服务端未正确配置CORS响应头：前端需设置withCredentials或credentials: 'include'，后端必须返回Access-Control-Allow-Credentials: true且Access-Control-Allow-Origin不能为*。
ThinkPHP Ajax请求Session丢失的根本原因
Session丢失不是ThinkPHP的bug，而是浏览器同源策略与Ajax默认行为共同导致的：现代浏览器对跨域或非同源请求默认不携带Cookie，而ThinkPHP（包括5.x/6.x）依赖PHPSESSID Cookie识别会话。即使前后端同域，若XMLHttpRequest或fetch未显式开启凭证支持，Cookie就不会随请求发出，服务端自然查不到Session。
关键点在于：服务端Session机制本身完好，问题出在客户端没把凭证送过去。
前端必须设置credentials才能传Cookie
无论用axios、fetch还是原生XMLHttpRequest，都得主动声明允许携带凭证：
-
axios：全局配置axios.defaults.withCredentials = true，或单次请求加{ withCredentials: true }
-
fetch：必须传{ credentials: 'include' }（不能用'same-origin'，否则某些子域名场景失效）
-
XMLHttpRequest：在open()后、send()前调用xhr.withCredentials = true
axios：全局配置axios.defaults.withCredentials = true，或单次请求加{ withCredentials: true }
fetch：必须传{ credentials: 'include' }（不能用'same-origin'，否则某些子域名场景失效）XMLHttpRequest：在open()后、send()前调用xhr.withCredentials = true
漏掉这一步，后端永远收不到PHPSESSID，session_start()会新建一个会话ID，旧Session数据彻底不可达。
后端需响应Access-Control-Allow-Credentials头
仅前端设withCredentials还不够。服务端必须在响应头中明确允许凭证传输，否则浏览器直接拦截响应：
- ThinkPHP 5.x：在
app\common.php或中间件里添加header('Access-Control-Allow-Credentials: true');
- ThinkPHP 6.x：推荐在
app/middleware.php中注册CORS中间件，确保返回头包含Access-Control-Allow-Credentials: true
- 注意：
Access-Control-Allow-Origin不能为*，必须指定具体域名（如http://localhost:8080），否则浏览器拒绝凭证请求
app\common.php或中间件里添加header('Access-Control-Allow-Credentials: true');
app/middleware.php中注册CORS中间件，确保返回头包含Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin不能为*，必须指定具体域名（如http://localhost:8080），否则浏览器拒绝凭证请求常见错误是只配了Access-Control-Allow-Origin: *却忘了Access-Control-Allow-Credentials，结果前端报错Response to preflight request doesn't pass access control check。
ThinkPHP 6.x 的Session驱动与跨域兼容细节
TP6默认使用File或Cache驱动存Session，本身无跨域问题，但有两点易被忽略：
- 如果启用了
session.auto_start或在middleware.php里提前启动Session（如SessionInit中间件位置太靠前），可能在CORS预检请求（OPTIONS）时就尝试读写Session，而预检请求不带Cookie，导致异常或空Session初始化
- 建议将Session中间件放在路由中间件组中，避免对OPTIONS请求生效；或在中间件里判断
$request->isOptions()跳过Session初始化
- 若用
Redis驱动，确认session.redis.host等配置正确，且Redis服务可被Web进程访问——连接失败时TP6静默降级为数组驱动，Session看似存在实则未持久化
session.auto_start或在middleware.php里提前启动Session（如SessionInit中间件位置太靠前），可能在CORS预检请求（OPTIONS）时就尝试读写Session，而预检请求不带Cookie，导致异常或空Session初始化$request->isOptions()跳过Session初始化Redis驱动，确认session.redis.host等配置正确，且Redis服务可被Web进程访问——连接失败时TP6静默降级为数组驱动，Session看似存在实则未持久化Session是否真正写入、能否被下一次请求读取，得看session_id()是否稳定、session_status()是否为PHP_SESSION_ACTIVE，光看$_SESSION不为空不够可靠。
立即学习“PHP免费学习笔记（深入）”；
