购物车数据绝大多数场景应存 Session——服务端存储、安全可控、无大小限制；仅未登录跨设备或纯前端预览时才考虑加密存 Cookie，并需设有效期和 httponly；禁用 cache 替代 session，避免生命周期混乱。
购物车数据该存 Session 还是 Cookie？
ThinkPHP 的购物车功能，绝大多数场景下直接用 session() 就够了——它默认基于 PHP 原生 session，服务端存储、安全可控、无大小限制。别一上来就折腾 Cookie 存商品 ID 列表，那既不安全（可被篡改），又难处理数量/规格等结构化数据。
例外情况只有两个：未登录用户需要跨设备保留少量商品（如访客加购），或要做纯前端预览（不依赖后端会话），这时才考虑加密后存 cookie()，但必须用 cookie('cart', $data, ['expire' => 3600, 'httponly' => true]) 显式设有效期和 httponly 标志。
常见错误：用 cache('cart_'.session_id(), $data) 替代 session——看似“高性能”，实则绕过 session 生命周期管理，用户登出后购物车还在，且容易因缓存过期策略混乱导致数据丢失。
如何用 session() 管理嵌套购物车结构
购物车不是简单数组，得支持同一商品多规格（如颜色+尺码）、不同数量、动态价格。直接存扁平数组会很快失控，推荐用二维键结构：
立即学习“PHP免费学习笔记（深入）”；
$cartData = [
'1024_28' => ['goods_id' => 1024, 'spec_id' => 28, 'num' => 3, 'price' => 89.9],
'1024_29' => ['goods_id' => 1024, 'spec_id' => 29, 'num' => 1, 'price' => 99.9],
];
操作时用 session('cart', $cartData) 写入，读取用 $cart = session('cart') ?: []。关键点：
- 键名拼接规则必须固定（如
"{$goods_id}_{$spec_id}"），避免用 JSON 编码作 key——PHP session 不支持非字符串 key，JSON 后的 key 本质还是字符串，但易产生不可见字符或编码歧义 - 每次修改（增/删/改数量）都应先读全量，再更新对应 key，最后整写回 session，不要试图用
session('cart.'.$key, $val)单独写——ThinkPHP 的 session 代理不支持深层点语法赋值 - 删除某条记录时，用
unset($cart[$key]); session('cart', $cart)，别用session('cart.'.$key, null)，后者无效
登录后怎么合并访客购物车？
用户注册/登录前加的购物车存在 session 里，登录后要迁移到用户专属表（如 user_cart）。核心逻辑不是“覆盖”，而是“合并”：
先查数据库里该用户的已有记录，遍历 session 购物车，对每条项检查是否已存在（goods_id + spec_id 相同），存在则数量相加，不存在则插入新行。合并完清空 session('cart')。
容易踩的坑：
- 没做去重判断，直接批量 INSERT，导致重复商品项
- 合并后没清 session，下次访问又把旧数据刷回去
- 用
Db::table('user_cart')->insertAll($data)时没过滤掉非法字段（如带 HTML 的 remark），引发 SQL 错误或 XSS 风险 - 登录态通过 token 或 JWT 实现时，session 可能未初始化，调
session('cart')返回 null——需提前确认session_status() === PHP_SESSION_ACTIVE
临时数据存 Redis 有哪些实际约束？
如果项目已用 Redis 做缓存，想把购物车也切过去提升并发能力，可以，但要注意 ThinkPHP 默认 session 驱动不自动适配 Redis 购物车。你得手动用 cache() 并指定前缀：
$key = 'cart_' . ($userId ?: session_id()); $cart = cache($key) ?: []; // 修改后 cache($key, $cart, 3600); // 必须显式设过期时间
问题在于：Redis 没有 session 的自动垃圾回收机制，cache() 的 TTL 是静态的，用户长时间不操作，购物车不会像 PHP session 那样随会话销毁而清理。所以生产环境若选 Redis，必须配套定时任务清理过期访客购物车（比如每天凌晨删 cart_[a-z0-9]{26} 类型 key）。
另一个现实约束：cache() 序列化用的是 PHP serialize()，若购物车结构含 Closure 或 resource，会报 Serialization of 'Closure' is not allowed——务必确保所有值都是数组、字符串、数字等基础类型。
真正需要 Redis 的场景其实很窄：高并发秒杀购物车预占位、或需跨语言服务共享购物车状态。普通电商，session() 足够稳。
