PHP 8.0 Session与Cookie管理需同步服务端GC时间、客户端Cookie生命周期及应用层空闲判断；必须统一session.gc_maxlifetime与session.cookie_lifetime，正确调用session_set_cookie_params()（须在session_start()前），并在所有请求入口校验$_SESSION['last_activity']并完整销毁会话。
PHP 8.0 的 Session 和 Cookie 管理不是“配好就能用”的事，而是三件事必须同步：服务端 GC 时间、客户端 Cookie 生命周期、应用层空闲判断。只要其中一环错位，就会出现“刚点完按钮就跳登录页”或“设了 2 小时却 5 分钟失效”——这不是代码写错了，是配置没对齐。
session.gc_maxlifetime 和 session.cookie_lifetime 必须严格一致
PHP 8.0 默认 session.gc_maxlifetime 是 1440 秒（24 分钟），而 session.cookie_lifetime 默认为 0（浏览器关闭即失效）。两者不一致时，必然出现「Cookie 还在但服务端数据被删」或「服务端数据还在但 Cookie 已丢」。
- 若你希望会话维持 1 小时，必须同时设：
session.gc_maxlifetime = 3600和session.cookie_lifetime = 3600 - 修改后必须重启 PHP-FPM 或 Apache/Nginx；仅 reload 不生效；Docker 容器需重建或 exec 进入改配置再重启进程
- 用
phpinfo()检查当前值，云平台（如 Laravel Forge、Cloudways）可能通过运行时覆盖层静默改写，别只信配置文件
session_set_cookie_params() 必须在 session_start() 前调用
这个函数常被误用成“启动后补参数”，但它的作用只是为本次请求生成的 Cookie 设置属性，且必须在 session_start() 之前执行，否则已发出的 Set-Cookie 头无法更改。
- 错误写法：
session_start(); session_set_cookie_params(...);—— 此时 Cookie 已发，参数被忽略 - 正确顺序：
session_set_cookie_params(3600, '/', '', false, true); session_start(); - 第 4 个参数（
secure）本地开发用 HTTP 时必须为false，否则浏览器拒收；生产环境 HTTPS 下应为true - 第 5 个参数（
httponly）建议始终为true，防 XSS 窃取 Session ID
所有入口必须手动校验 $_SESSION['last_activity']
GC 和 Cookie 过期只能控制“绝对存活时间”，无法应对“用户挂机但浏览器没关”的场景。AJAX 轮询、SPA 页面切换、长连接都可能导致 GC 不触发、Cookie 不刷新，但用户实际早已离开。
立即学习“PHP免费学习笔记（深入）”；
- 每次
session_start()后立即检查：if (isset($_SESSION['last_activity']) && time() - $_SESSION['last_activity'] > 1800) - 销毁逻辑要完整：
session_unset(); session_destroy(); setcookie(session_name(), '', time() - 3600, '/');—— 缺一不可，否则旧 Cookie 可能继续带 ID 发起请求，造成“假登录” - 所有受保护页面（包括 API 接口、AJAX 后端脚本）都必须包含该检查；漏掉一个，整个会话安全就崩一角
登出时必须同时清理客户端 Cookie 和服务端 Session
用户点击“退出”不是调个 session_destroy() 就完事。Session ID 仍存在于浏览器中，下次请求照样能恢复会话，等于没登出。
- 先清除服务端：
session_unset(); session_destroy(); - 再让客户端 Cookie 失效：
setcookie(session_name(), '', time() - 3600, '/'); - 最后手动清空当前请求中的
$_COOKIE[session_name()]，避免后续代码误读残留值 - 注意路径（
/）和域名需与设置时完全一致，否则 Cookie 不会被覆盖删除
最易被忽略的是：所有这些逻辑必须在每个请求入口（哪怕是个简单的 api/status.php）里重复执行。没人会替你自动注入，漏一次，就多一个可被利用的会话窗口。
