ThinkPHP切换Session存储需按驱动类型配置：文件驱动须设安全path并授权；Redis驱动必须配全host/port/database/prefix且禁用127.0.0.1；数据库驱动需实现SessionHandlerInterface；Memcached需设serialize='php'；所有场景均须启用use_strict_mode、cookie_httponly、cookie_secure等安全参数。
如果您在ThinkPHP项目中需要更改默认的Session存储方式，以提升安全性、性能或适配分布式部署，则需手动修改框架配置并确保底层PHP环境支持目标驱动。以下是具体配置方法：
一、启用文件驱动并自定义存储路径
文件驱动是ThinkPHP默认选项，适用于单机开发环境，但必须确保目录权限安全且不可被Web直接访问。修改存储路径可降低未授权读取风险。
1、打开 config/session.php 配置文件。
2、将 'type' => 'file' 保持不变，显式设置 'path' 为Web根目录之外的绝对路径，例如 '/var/www/runtime/sessions'。
立即学习“PHP免费学习笔记（深入）”；
3、执行命令确保该目录存在且由Web服务器进程（如www-data或nginx）拥有读写权限：mkdir -p /var/www/runtime/sessions && chown www-data:www-data /var/www/runtime/sessions && chmod 700 /var/www/runtime/sessions。
4、确认PHP的 session.save_path 与该路径一致，可通过 ini_set('session.save_path', '/var/www/runtime/sessions') 在入口文件中强制覆盖。
二、切换为Redis驱动并完成连接配置
Redis驱动适用于高并发及分布式场景，所有Web节点共享同一Redis实例，避免会话丢失。配置必须完整，否则会静默降级回file驱动。
1、确认服务器已安装并启用 phpredis 扩展（非Predis），运行 php -m | grep redis 验证输出包含 redis。
2、在 config/session.php 中设置：'type' => 'redis'，并补充完整参数：'host' => '10.0.1.100', 'port' => 6379, 'password' => null, 'database' => 2, 'timeout' => 60。
3、显式指定 'prefix' => 'tp6_admin_'，防止多应用共用Redis DB时key冲突。
4、确保Redis服务监听内网IP（禁用127.0.0.1），防火墙放行对应端口，且 maxmemory-policy 不设为 noeviction 以外的值，避免Session被误淘汰。
三、配置数据库驱动并注册自定义处理器
数据库驱动提供持久化能力与集中管理优势，适用于审计要求高或需长期保留会话数据的业务，但需自行实现SessionHandlerInterface接口。
1、创建数据库表，执行SQL：CREATE TABLE sessions (id VARCHAR(128) NOT NULL PRIMARY KEY, data TEXT NOT NULL, expires INT NOT NULL);。
2、新建类 app/common/DbSessionHandler.php，实现 SessionHandlerInterface，重写 read()、write()、destroy() 和 gc() 方法，使用PDO预处理语句操作表。
3、在应用初始化前（如 app/common/bootstrap.php 或入口文件）调用：session_set_save_handler(new \app\common\DbSessionHandler(), true)。
4、在 config/session.php 中设置：'type' => 'user'，并确保 session.use_strict_mode = 1 已在PHP层面启用。
四、启用Memcached驱动并校验序列化兼容性
Memcached驱动适合低延迟读写场景，不支持数据持久化，但吞吐量高于Redis；需注意其默认使用PHP内置序列化，与Redis的json_encode行为不同。
1、确认已安装 memcached 扩展（非memcache），运行 php -m | grep memcached 验证。
2、启动Memcached服务并监听 127.0.0.1:11211，确保无认证限制。
3、在 config/session.php 中配置：'type' => 'memcached', 'host' => '127.0.0.1', 'port' => 11211, 'weight' => 1, 'expire' => 3600。
4、显式设置 'serialize' => 'php'，避免与Redis驱动混用时因序列化格式差异导致 $_SESSION 为空。
五、强制启用严格模式与Cookie安全参数
无论选用何种存储驱动，都必须同步加固Session ID传输层安全，防止会话固定、窃听与CSRF攻击。
1、在 config/session.php 中添加：'use_strict_mode' => 1, 'cookie_httponly' => 1, 'cookie_secure' => 1, 'cookie_samesite' => 'Lax'。
2、若部署于HTTPS环境，确保Web服务器已正确配置SSL证书，否则 cookie_secure = 1 将导致浏览器拒绝发送Cookie。
3、在PHP配置中关闭URL传递Session ID：ini_set('session.use_trans_sid', 0)，并在Nginx/Apache中移除可能泄露 PHPSESSID 的重写规则。
4、登录成功后立即调用 session()->regenerate(true)，销毁旧ID并生成新ID，阻断会话固定漏洞链。
