ThinkPHP 6/8 升级后 session 丢失，主因是默认关闭自动启动、SessionInit 中间件错配在 config/middleware.php（应放 app/middleware.php）、驱动配置缺失（如 driver 为空或 Redis prefix 不一致）三重叠加；需显式调用 session()->start()、清缓存、校验存储权限与跨域凭证。
升级ThinkPHP版本后session丢失，不是代码写错了，而是TP6/TP8默认关闭自动启动、中间件加载位置错位、驱动配置缺失三处关键变化叠加导致的连锁失效——你调用session('user')返回null，但$_SESSION里其实有数据，这种静默失败最容易被忽略。
确认Session中间件是否真正启用
新建项目后Session默认不生效，因为SessionInit中间件未被正确加载。官方文档写的config/middleware.php是误导性路径——实际应修改app/middleware.php文件。
打开app/middleware.php，将\think\middleware\SessionInit::class加入返回数组第一项；若该文件为空，请直接写成：return [\think\middleware\SessionInit::class];
执行php think clear清除运行时缓存，否则旧配置仍被读取。这一步漏掉，后续所有配置都白做。
立即学习“PHP免费学习笔记（深入）”；
显式启动Session并检查驱动配置
TP6起session()不再自动启动，调用session('key', 'val')前必须先触发session()->start()，否则静默失败。
检查config/session.php，确认存在'driver' => 'file'（或'redis'等实际启用的驱动）——TP6在driver为空时会跳过初始化，session_start()根本不会触发。
若用了.env配置，确保SESSION_DRIVER=file且config/session.php中通过Env::get('session.driver')正确读取；别依赖“没配就用file”的旧习惯。
统一存储驱动与前缀（多应用必做）
方法一：Redis驱动下强制设空prefix
在config/session.php中强制指定：'type' => 'redis', 'prefix' => '', 'store' => 'session'。prefix必须为空字符串或所有子应用完全一致，否则www应用写sess_abc，admin应用却去读admin_sess_abc，自然找不到。
同时在config/cache.php中确认stores.session配置指向真实可用的Redis实例，host、port、database、auth缺一不可。
安全地重置 OpenClaw agent sessions，支持备份、预览、恢复和批量操作。用于：1) 清理过期的 agent 会话上下文，2) 重置特定 agents 的 session，3) 批量重置六部/秘书 sessions，4) 查看和恢复历史备份。当用户需要"reset session"、"清理 se...
方法二：File驱动需校验runtime/session权限
检查runtime/session/目录是否存在且Web进程有写权限——非root用户运行时尤其容易出问题。
登录成功后加一行dump(session_id());，刷新页面看ID是否变化；若变，说明session没续上。
修复跨域与Ajax请求的Cookie传输
第一步：前端必须设置credentials才能传Cookie
axios全局配置axios.defaults.withCredentials = true，或单次请求加{ withCredentials: true }；fetch必须传{ credentials: 'include' }（不能用'same-origin'）。
第二步：后端响应头必须匹配
ThinkPHP 6.x推荐在app/middleware.php中注册CORS中间件，确保返回头包含Access-Control-Allow-Credentials: true；Access-Control-Allow-Origin不能为*，必须指定具体域名（如https://admin.example.com）。
漏掉任一环节，浏览器都不会发送PHPSESSID，服务端只能新建会话ID。
生产环境Cookie安全属性补全
TP6中cookie()默认参数是['httponly' => false, 'secure' => false]，而TP5.1是true。本地开发可能没问题，一上HTTPS环境，Cookie就被浏览器拒收。
立即在app/middleware.php中注册中间件，对所有响应强制设置：cookie('token', $val, ['httponly' => true, 'secure' => true, 'samesite' => 'Lax'])。
samesite值不能硬写'None'，否则Chrome 80+会直接丢弃；非跨站场景用'Lax'更安全。
