必须同时启用HttpOnly和Secure：HttpOnly阻止JavaScript读取PHPSESSID防XSS盗取，Secure强制仅HTTPS传输防明文劫持；缺一则防护失效，需在php.ini、代码或框架配置中同步设置并验证生效。
PHP默认不开启Session Cookie的安全属性，会话ID容易被JavaScript读取或通过HTTP明文传输——这正是劫持的入口。关键不是“要不要设”，而是必须同时启用HttpOnly和Secure，缺一不可。
为什么必须两个一起开
HttpOnly防止XSS成功后用document.cookie盗走PHPSESSID；Secure确保浏览器只在HTTPS连接中发送该Cookie。单独开HttpOnly，攻击者仍可在HTTP页面里截获明文Cookie；单独开Secure，XSS脚本照常能读取并外传。两者是网络层与脚本层的双重锁。
- HttpOnly：浏览器禁止JS访问，但服务端照常读写
- Secure：浏览器拒绝在HTTP请求中携带该Cookie，哪怕当前页面跳转到HTTP也会丢弃
- 若站点未全站HTTPS，Secure必须关闭；上线前务必确认TLS证书有效且HSTS已配置
三种可靠设置方式（按优先级排序）
推荐从全局配置入手，再逐层补漏。顺序错了容易被覆盖或静默失效。
-
改php.ini（最稳）：设
session.cookie_httponly = 1、session.cookie_secure = 1、session.use_only_cookies = 1，保存后重启Apache/Nginx+PHP-FPM -
代码中提前设（共享主机适用）：在
session_start()之前，用ini_set('session.cookie_httponly', '1')等三行强制覆盖；注意反向代理时要检查$_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https' -
用session_set_cookie_params()（更灵活）：PHP ≥7.3可传关联数组，如
session_set_cookie_params(['httponly' => true, 'secure' => true, 'samesite' => 'Lax'])；低版本用传统七参数，第6、7位必须是true，不能传字符串或null
ThinkPHP等框架不能依赖默认
ThinkPHP 5.1/6.x默认secure和httponly均为false。必须手动修改config/app.php里的cookie配置块：
立即学习“PHP免费学习笔记（深入）”；
- 加
'secure' => true和'httponly' => true - 反向代理部署时，额外加
'https' => true或在public/index.php开头写$_SERVER['HTTPS'] = 'on' - 登录成功后立刻调用
session_regenerate_id(true)，防会话固定攻击
验证是否真正生效
别信配置写了就完事。打开浏览器开发者工具 → Application → Cookies，找你的PHPSESSID，看Secure和HttpOnly列是否打钩。如果没勾：
- 检查PHP文件开头有无BOM（尤其Windows编辑器保存的文件）
- 确认
session_start()前没有任何输出（包括空格、echo、var_dump、错误日志） - 抓包看响应头Set-Cookie字段，是否真实包含
HttpOnly; Secure - 用HTTP访问时，该Cookie应完全不出现；只有HTTPS下才存在且带标记
