Symfony 6.x会话需手动配置才安全可靠：必须设handler_id为Redis、cookie_secure=true、cookie_httponly=true、cookie_samesite='lax'，并自定义cookie_name/path/domain；remember_me需数据库支持且启用doctrine token_provider。
Symfony 6.x 的会话不是“开箱即用就安全可靠”的东西，它默认依赖 PHP 原生 session，但关键配置（如 Cookie 属性、存储方式、超时）全得手动干预；不改，生产环境大概率出问题——比如用户反复掉登录、Cookie 被 XSS 窃取、多服务器下会话丢失。
session_start() 不再由你手动调用，但 session 配置必须显式声明
Symfony 6.x 默认通过 framework.yaml 控制会话行为，session_start() 已被框架在请求生命周期早期自动触发。你不需要、也不该在控制器里再调用它——否则可能报 Session started twice 错误。
真正要管的是配置项：
-
handler_id：决定会话数据存在哪。默认是session.handler.native_file（存本地文件），多实例部署必须换为session.handler.redis或数据库驱动 -
cookie_secure：线上必须设为true，否则 HTTPS 站点的会话 Cookie 会被浏览器拒绝发送 -
cookie_httponly和cookie_samesite：建议固定为true和'lax'，防 XSS 读取和基础 CSRF -
gc_maxlifetime：影响服务端会话过期时间，和前端 Cookie 的max-age是两回事，别混淆
示例（config/packages/framework.yaml）：
session:
handler_id: 'session.handler.redis'
cookie_secure: true
cookie_httponly: true
cookie_samesite: 'lax'
gc_maxlifetime: 1800
Cookie 名称和路径不能靠默认值，否则跨子域或子路径失效
Symfony 默认会话 Cookie 名叫 PHPSESSID，但这个名称容易暴露技术栈，且无法区分不同环境（如 staging / prod）。更关键的是：cookie_path 默认为 /，看似稳妥，一旦你的应用部署在 /admin 子路径下，而前端发请求到 /api，Cookie 就不会随请求发出。
正确做法是按实际部署结构对齐：
- 若站点跑在
https://app.example.com/，cookie_path设为/，cookie_domain设为.example.com（注意开头的点，支持所有子域） - 若只跑在
https://app.example.com/myapp/，则cookie_path必须设为/myapp/，否则后端收不到 Cookie - 修改 Cookie 名称用
cookie_name，比如设成myapp_session，避免和其它 PHP 应用冲突
配置位置仍在 framework.yaml：
session:
cookie_name: 'myapp_session'
cookie_path: '/myapp/'
cookie_domain: '.example.com'
“记住我”不是 session 延长，而是独立令牌机制，必须配数据库
很多人以为开启 remember_me 就是让 session 多活几天——错。Symfony 的 remember me 是一套完全独立于 session 的机制：它生成加密令牌存进数据库，客户端存一个长期 Cookie，登录时校验并重建 session。关掉数据库持久化，重启服务后所有“记住我”立即失效。
必须做的三件事：
- 在
security.yaml的防火墙中启用：remember_me: { secret: '%kernel.secret%' }，且secret不能为空 - 指定
token_provider: doctrine，并确保已安装symfony/doctrine-bridge - 运行
php bin/console doctrine:schema:update --force或创建迁移，生成rememberme_token表
前端表单字段名必须是 _remember_me（带下划线），不是 remember_me 或自定义名，否则框架直接忽略。
Redis 存 session 很快，但连接失败会导致整个请求崩溃
用 Redis 替代文件存储能解决多服务器会话共享问题，但 Symfony 默认不处理 Redis 连接异常。一旦 Redis 挂了，session_start() 内部会抛出 RedisException，整个 HTTP 请求直接 500。
没有银弹，只有折中方案：
- 加一层代理 Handler：继承
AbstractSessionHandler，在write()和read()中捕获异常，降级回内存（NullSessionStorage）或记录告警但不中断流程 - 不要把
save_path写死在配置里，改用 DSN 并启用连接池（如redis://localhost?retry_interval=100&timeout=1） - 监控 Redis 的
connected_clients和used_memory_peak，4KB/session 是硬限制，10 万用户 ≈ 400MB 内存占用
最易被忽略的一点：Redis 的 serialize 选项默认是 php，但 PHP 8.1+ 对某些对象序列化有兼容问题。建议显式设为 igbinary（需扩展支持）或 json（仅限简单数组/标量）。
