仅开启 session.encrypt 不够用，因其仅加密数据不防重放、不签名、不绑定IP，且无法替代Cookie安全配置；必须配合 strict_mode、HttpOnly、Secure 等参数及密钥规范使用才有效。
ThinkPHP 的 session.encrypt 配置能防止存储层的数据被直接篡改或读取，但它不防重放、不签名、不绑定 IP，也不能替代 Cookie 安全设置——必须和其他配置组合使用才真正有效。
为什么只开 encrypt 不够用
ThinkPHP 的 session.encrypt 是对 $_SESSION 序列化后的字节流做 AES-256-CBC 加密，写入前加密、读取后解密。但它不生成认证标签（tag），无法检测密文是否被替换或重放；也不校验 session ID 合法性，攻击者仍可伪造一个合法格式的加密 blob 提交（只要密钥没泄露，解密会失败，但服务端可能报错而非静默拒绝）。
常见错误现象：
- 开启
encrypt后，Redis 里看到的 session 值是乱码，误以为“已加密就安全了” - 没配
session.use_strict_mode = 1，攻击者用固定 ID 登录后持续复用该 ID - 开发环境开着
session.cookie_secure = 1却没 HTTPS，导致 Cookie 根本不下发，登录态始终为空
正确启用 session.encrypt 的三步实操
修改 config/session.php，仅需三处改动，缺一不可：
立即学习“PHP免费学习笔记（深入）”；
- 设
'encrypt' => true—— 开启加解密开关 - 用
hash('sha256', 'your_salt_here', true)生成 32 字节二进制密钥，赋给'encrypt_key'；不能直接写字符串，否则 openssl_decrypt 会失败 - 确认
'prefix'和非加密会话不混用，比如老项目切加密时，别让新旧会话 key 写进同一个 Redis DB（否则解密旧数据会出错）
示例片段：
return [
'type' => 'redis',
'encrypt' => true,
'encrypt_key' => hash('sha256', 'thinkphp-session-v2-2026', true),
'prefix' => 'sess_enc_',
'redis' => [
'host' => '127.0.0.1',
'port' => 6379,
'database' => 2,
'password' => null,
'timeout' => 60,
],
];
必须同步补上的 Cookie 和 ID 安全参数
session.encrypt 只管 session 数据体，不管传输层。以下 ini 设置必须在 session_start() 之前执行（建议放在 public/index.php 开头或中间件最前）：
-
ini_set('session.cookie_httponly', '1')—— 防 XSS 盗取 PHPSESSID -
ini_set('session.cookie_secure', '1')—— 仅 HTTPS 下发送 Cookie（测试环境请注释掉） -
ini_set('session.use_only_cookies', '1')—— 禁用 URL 拼接PHPSESSID=xxx -
ini_set('session.use_strict_mode', '1')—— 拒绝未初始化的 session ID，防固定攻击
漏掉任意一项，加密 session 数据都形同虚设：ID 被劫持，加密内容照样被冒用。
敏感字段单独加密更务实
全量加密 $_SESSION 有性能代价，且密钥轮换会导致所有会话立即失效。对高危字段（如 auth_token、user_role）单独加密，是更可控的做法：
- 登录成功后，提取原始值：
$raw_token = $_SESSION['auth_token'] ?? ''; - 调用自定义函数加密：
$_SESSION['auth_token_enc'] = encrypt_field($raw_token, $key); - 清空明文字段：
unset($_SESSION['auth_token']); - 后续验证时只解密
auth_token_enc，其余字段（如login_time）保持明文
这样既降低攻击面，又避免因加密失败导致整个会话不可用——毕竟 session 数据不是每个字段都需要保密。
真正容易被忽略的点在于：加密只是存储侧的一道锁，而 session ID 的生成、传输、生命周期管理，才是整条链路最薄弱的环节。哪怕数据全加密了，ID 还是能被固定、被窃听、被重放。
