PHP 8.0 下必须显式加固会话安全：强制启用 session.cookie_httponly=1、session.cookie_secure=1、session.cookie_samesite=Lax，session.save_path 移出 Web 根目录；禁用 auth_type='config'，仅用 'cookie' 模式并配强 blowfish_secret；统一 session.gc_maxlifetime 与 $cfg['LoginCookieValidity'] 为 1800。
PHP 8.0 本身不“调用 HTML”，而是生成或嵌入 HTML 输出；Session 则需在输出任何内容前启动并正确管理。关键不是“怎么把 HTML 塞进去”，而是**如何让 PHP 脚本安全、稳定地输出 HTML 同时维持会话状态**。
确保 session_start() 在最前面且无干扰
这是最常见的失败点。只要在 session_start() 之前有任何输出（空格、BOM、echo、HTML 标签、甚至 UTF-8 BOM 字节），就会触发 “headers already sent” 错误，导致 Set-Cookie 失败、$_SESSION 不可用。
- PHP 文件必须以纯 UTF-8 无 BOM 编码保存（编辑器里选“UTF-8 without BOM”）
- 所有 PHP 代码块（包括
<?php）前不能有空行、空格或注释 - 不要在
session_start()前写<!DOCTYPE html>或任何<html> - 推荐结构：
<?php session_start(); ?><!DOCTYPE html>...
在 HTML 中安全显示和使用 Session 数据
Session 数据已加载进 $_SESSION，可在 HTML 模板中直接插值，但要过滤防 XSS：
- 显示用户名：
<p>欢迎，<?php echo htmlspecialchars($_SESSION['username'] ?? '', ENT_QUOTES, 'UTF-8'); ?></p> - 判断登录状态：
<?php if (isset($_SESSION['user_id'])): ?> <a href="logout.php">退出</a> <?php endif; ?> - 避免直接 echo $_SESSION 变量——始终用 htmlspecialchars() 或 filter_var() 处理输出
PHP 8.0 下 Session 的关键配置项（必须检查）
仅靠 session_start() 不够。PHP 8.0 默认启用 session.use_strict_mode=1，若 ini 设置未显式加固，会话易被劫持或失效：
立即学习“PHP免费学习笔记（深入）”；
-
session.cookie_httponly = 1：阻止 JavaScript 访问 cookie（防 XSS 窃取 PHPSESSID） -
session.cookie_secure = 1：仅通过 HTTPS 发送 cookie（HTTP 环境下禁用此条或配反代） -
session.cookie_samesite = Lax：缓解 CSRF，兼容主流浏览器 -
session.save_path = /var/lib/php/sessions：必须设为 Web 根目录外的路径，防止被直接下载 - 这些应在 php.ini 或脚本开头用
ini_set()显式设置，不要依赖默认值
前后端协作：HTML 表单提交后保持会话
表单提交（GET/POST）本身不会中断会话，但要注意两点：
- 提交目标脚本（如
login.php）也必须先执行session_start()，才能读写 $_SESSION - 若用 AJAX 提交，确保前端携带凭证：
credentials: 'include'（fetch）或xhrFields: { withCredentials: true }（jQuery） - 跨子域（如 www.example.com → api.example.com）需统一
session.cookie_domain = '.example.com'并配 Nginxproxy_cookie_domain
