PHP会话默认不记录访问日志，需手动在session_start()后立即用file_put_contents()追加写入关键字段（时间、session_id、IP、UA、URI），并检查session_status()===PHP_SESSION_ACTIVE，避免在session_write_close()后记录。
PHP会话默认不记录访问日志，必须手动实现
PHP 的 session_start() 本身不会写任何访问日志——它只负责读写 $_SESSION 和维护会话生命周期。日志得你自己加逻辑，否则你永远不知道谁在什么时候访问了哪个会话 ID。
在 session_start() 后立即记录日志最可靠
会话数据在 session_start() 执行后才可安全读取（比如 session_id()、$_SESSION['user_id']），且此时会话文件尚未关闭，避免并发写入冲突。延迟到脚本末尾再记，可能因异常提前退出而漏记。
- 用
file_put_contents()追加写入，带FILE_APPEND | LOCK_EX防止多请求覆盖 - 记录关键字段：时间戳、
session_id()、$_SERVER['REMOTE_ADDR']、$_SERVER['HTTP_USER_AGENT']、$_SERVER['REQUEST_URI'] - 避免记录敏感内容（如密码、token 原文），也别直接写
$_SESSION全量内容——体积大且含二进制数据
file_put_contents('/var/log/php-session-access.log',
date('Y-m-d H:i:s') . "\t" .
session_id() . "\t" .
$_SERVER['REMOTE_ADDR'] . "\t" .
substr($_SERVER['HTTP_USER_AGENT'] ?? '', 0, 64) . "\t" .
$_SERVER['REQUEST_URI'] . "\n",
FILE_APPEND | LOCK_EX);
注意 session.save_handler 和自定义 handler 的影响
如果你用了 redis、memcached 或自定义 SessionHandlerInterface，session_id() 和会话状态依然可用，但不能依赖本地文件锁。此时日志写入要改用线程/进程安全的方式：
- 用数据库 INSERT（带时间戳和索引）比文件更可控
- 若坚持用文件，去掉
LOCK_EX并接受极小概率的换行错乱（实际影响不大） - 检查
session_status()===PHP_SESSION_ACTIVE，防止在未启动会话时调用出错
不要在 session_write_close() 后记录会话信息
session_write_close() 会释放会话锁并关闭会话存储，之后再读 $_SESSION 可能返回空或过期数据，session_id() 虽仍可获取，但已不代表当前活跃会话上下文。常见错误是把它放在 register_shutdown_function() 里，结果日志里全是空 session_id 或旧值。
立即学习“PHP免费学习笔记（深入）”；
真正需要长期审计的场景，建议把日志逻辑封装成中间件或基类方法，在所有会话相关入口统一调用——而不是指望某个钩子自动触发。会话日志不是“开个配置就行”的功能，它本质上是一次显式、有上下文、带权衡的写操作。
