必须设置session.cookie_secure=1（或true），确保PHPSESSID Cookie仅通过HTTPS传输，否则在混合协议下会因浏览器拒绝不安全Cookie导致会话丢失；该配置须在session_start()前生效，且需全链路HTTPS对齐。
PHP会话如何设置会话安全传输协议
PHP会话本身不决定是否走HTTPS，它只依赖Web服务器传入的环境信号和你显式配置的安全参数。如果没配对，session_start() 生成的 Cookie 会被浏览器拒绝（尤其在 HTTPS 页面下发起 HTTP 请求时），导致登录态丢失、AJAX 失败、$_SESSION 为空等现象。
必须设 session.cookie_secure = true 才能强制 Cookie 仅 HTTPS 传输
这个 INI 指令控制 PHP 是否给 Set-Cookie 响应头自动加上 Secure 标志。不设，就算你在 HTTPS 页面调用 session_start()，浏览器仍可能把 Session Cookie 存下来并随后续 HTTP 请求一起发出去——这是典型的混合协议漏洞。
- 生效方式：可在
php.ini中全局设session.cookie_secure = 1，或运行时用ini_set('session.cookie_secure', '1') - 注意：必须在
session_start()之前调用，否则无效 - 若部署在反向代理后（如 Nginx + Apache），需确保
$_SERVER['HTTPS'] === 'on'或$_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https'已正确识别，否则cookie_secure会因误判环境而失效
ThinkPHP 6 等框架中要同步改 config/session.php
框架通常封装了底层 session_set_cookie_params() 调用，直接改 php.ini 可能被覆盖。以 ThinkPHP 6 为例，必须显式声明：
'secure' => true, 'httponly' => true, 'samesite' => 'Lax',
漏掉 secure => true，框架仍会生成不带 Secure 标志的 Cookie；漏掉 httponly => true，JS 就能读取 PHPSESSID，增加 XSS 后窃取会话的风险。
立即学习“PHP免费学习笔记（深入）”；
为什么 session.use_cookies = On 不能关
有人想“禁用 Cookie 改用 URL 传 Session ID”来绕过 HTTPS 限制，这是危险操作：
-
session.use_trans_sid = On会让 PHP 把PHPSESSID自动追加到所有链接和表单 action 中，极易泄露 - 现代浏览器默认屏蔽 referrer，
session.referer_check失效，无法防御会话注入 - 搜索引擎、代理缓存、访问日志都可能记录含 Session ID 的 URL，造成会话劫持
-
session.use_cookies关闭后，移动端 WebView、某些小程序容器根本无法维持会话
真正该做的是确保整个链路走 HTTPS：从用户访问入口、CDN 配置、反向代理转发，到 PHP 层的 cookie_secure 和框架配置全部对齐。任何一环掉链，Secure 就形同虚设。
