ThinkPHP会话安全需手动加固：启用cookie_secure和HttpOnly、禁用trans_sid、登录后调用session_regenerate_id(true)、IP绑定需谨慎实现。
ThinkPHP 默认使用 PHP 原生 session_start() 机制，但其会话安全策略不自动启用关键防护项——这意味着不做配置，PHPSESSID 就可能明文传输、可被 JS 读取、绑定宽松，极易被劫持。
session.cookie_secure 和 HttpOnly 必须手动开启
ThinkPHP 不会自动设置 Cookie 安全属性，即使你已部署 HTTPS。若未显式配置，PHPSESSID 仍可能通过 HTTP 发送，或被 XSS 脚本盗取。
需在应用初始化阶段（如 app/common.php 或 app/middleware.php 开头）调用：
ini_set('session.cookie_secure', '1');
ini_set('session.cookie_httponly', '1');
注意：session.cookie_secure = 1 仅在 HTTPS 下生效；若测试环境无 HTTPS，此设置会导致 Cookie 不发送，登录失败——别在开发环境盲目复制生产配置。
禁用 URL 传递 Session ID（防止 trans_sid 泄露）
ThinkPHP 默认不干预 PHP 的 session.use_trans_sid，而该选项一旦开启，会把 PHPSESSID=xxx 拼进所有相对 URL（如 /user/profile?PHPSESSID=abc123），极易被日志、代理、Referer 泄露。
必须关闭：
ini_set('session.use_trans_sid', '0');-
ini_set('session.use_only_cookies', '1');—— 强制只走 Cookie，拒绝 URL fallback
这两项应在 session_start() 之前执行，否则无效。ThinkPHP 的 Session::init() 内部虽调用 session_start()，但不接管 ini 设置，所以你得自己拦在前面。
Remix V2 Meta Sessions Review
下载
审查 Remix v2 代码中的 v1 形态 meta 导出（v2 中为破坏性变更），cookie 安全漏洞（httpOnly、secure、密钥轮换），认证门位于错误层级，以及其他
立即学习“PHP免费学习笔记（深入）”；
登录后必须 regenerate_id 并销毁旧会话
ThinkPHP 不自动执行会话固定防护。用户登录成功时，若沿用登录前的 Session ID，攻击者只需提前诱导用户访问带固定 ID 的链接（如 ?PHPSESSID=attacker123），即可完成会话固定攻击。
正确做法是：在认证通过后、写入用户数据前，立即刷新 ID：
session_regenerate_id(true); // true 表示删除旧 session 文件 $_SESSION['uid'] = $user['id']; $_SESSION['login_time'] = time();
别用 Session::clear() 或 Session::destroy() 替代——它们只清数据，不换 ID；也别漏掉 true 参数，否则旧会话文件残留，仍可被重放。
IP 绑定需自行实现，且慎用
ThinkPHP 无内置 IP 绑定功能。有人直接在 session_start() 后比对 $_SERVER['REMOTE_ADDR']，但这在真实场景中极易误杀：
- 用户经 NAT/运营商级代理（如国内三大运营商常见），
REMOTE_ADDR频繁变动 - 移动端切换 Wi-Fi/4G，IP 瞬间变更
- CDN 或反向代理未透传真实 IP（
X-Forwarded-For可伪造）
若真要加 IP 校验，建议只记录首次登录 IP 到 session 中，后续请求仅作日志告警，而非直接拒绝；或改用更稳定的标识，如结合 $_SERVER['HTTP_USER_AGENT'] 哈希（注意 UA 也可能更新）+ 登录指纹（如设备特征摘要），并允许有限次数的“不匹配”。
ThinkPHP 的 Session 安全是「默认开放，需手动加固」——它不替你做决定，也不隐藏底层细节。最容易被忽略的是：你以为开了 HTTPS 就安全了，却忘了 cookie_secure 没设；你以为用了框架就防固定，却没在登录逻辑里调 session_regenerate_id(true)。这些点不补上，HTTPS 和框架本身都救不了会话。 
