session_name() 必须在 session_start() 之前调用，否则会触发 E_WARNING 且无效；其作用是设置会话 Cookie 名称（如 _MyAppSID），并要求名称至少含一个字母、不能全数字，否则每次请求生成新会话 ID。
session_name() 必须在 session_start() 之前调用
直接在 session_start() 后调用 session_name() 不生效，PHP 会抛出 E_WARNING，且 Cookie 不会被重写。这是因为 session 名称（如 PHPSESSID）在首次响应头发出后就已固定。
常见错误写法：
session_start();
session_name('_MyApp'); // ❌ 无效，警告：Cannot change session name when session is active
正确顺序必须是：
- 先调用
session_name('_MyApp')（可选，但需在任何输出/headers 之前） - 再调用
session_start() - 确保该逻辑出现在所有 HTML 输出、
echo、空白符之前
在 XAMPP 中全局修改 session.name（php.ini 级别）
XAMPP 默认使用 PHPSESSID 作为会话 Cookie 名，若想让整个环境统一改名（比如避免被扫描识别），应修改 php.ini 而非每次手动调用 session_name()。
立即学习“PHP免费学习笔记（深入）”；
操作路径（以 Windows XAMPP 为例）：
- 打开 XAMPP 控制面板 → 点击
Explorer→ 进入php目录 - 编辑
php.ini，搜索session.name - 将
session.name = PHPSESSID改为session.name = _MyAppSID - 重启 Apache（XAMPP 控制面板中 stop → start）
⚠️ 注意：session.name 值不能全为数字（如 12345），否则 PHP 每次请求都会生成新 ID —— 这是硬性校验，不是配置遗漏。
由 ReMe 驱动的记忆管理系统，支持跨会话记忆持久化、自动应用用户偏好以及智能上下文压缩...
Yii2 应用中安全地自定义 session 名称和 ID
Yii2 的 yii\web\Session 组件封装了底层行为，推荐通过配置而非裸调 PHP 函数来统一管理。
在 config/web.php 的 components 中设置：
'session' => [
'class' => 'yii\web\Session',
'name' => '_MyAppSID', // ← 对应 php.ini 的 session.name
'savePath' => '@app/runtime/sessions',
'timeout' => 1800,
'cookieParams' => [
'httponly' => true,
'samesite' => 'Lax',
],
],
这样既覆盖了 Cookie 名，又避免了手动调用 session_name() 的时机风险。注意：name 值仍需满足“含字母”的规则，否则 Yii2 启动时虽不报错，但后续 $_SESSION 无法持久化。
session_id() 自定义 ID 的实际限制与风险
虽然 session_id('custom123') 在调用 session_start() 前可用，但不建议在生产环境硬编码 ID —— 它破坏了唯一性和熵值，容易引发冲突或被预测。
真正需要控制 ID 场景极少，例如：
- 调试时复现某次会话（临时加日志）
- 与遗留系统做 session ID 映射（需同步存储逻辑）
更稳妥的做法是用 session_regenerate_id(true) 在登录成功后刷新 ID，防止会话固定攻击。而自定义 ID 若未配合 session_destroy() 清旧数据，还可能导致旧文件残留、磁盘空间缓慢增长。
最易被忽略的一点：XAMPP 默认启用了 session.use_cookies=1 和 session.use_only_cookies=1，这意味着禁用 Cookie 后会话直接失效——这不是名称或 ID 的问题，而是传输机制本身被切断。
