PHP Session 更新失败的根本原因是未在脚本开头无条件调用 session_start()，且必须位于所有输出之前；同时需确保 session.save_path 可写、cookie_lifetime 与 gc_maxlifetime 匹配，并适配 strict_mode、HTTPS 及跨域配置。
确认 session_start() 调用位置是否正确
PHP 的 $_SESSION 不是自动可用的，必须在每个需要访问会话数据的脚本开头、任何输出（包括空格、BOM、HTML、echo）之前调用 session_start()。
常见错误：只在登录成功时调用（如 loginUser() 函数内），但首页（home.php）、用户中心等页面未主动启动，导致 $_SESSION 始终为空。
- 在所有入口 PHP 文件（如 index.php、home.php、profile.php）最顶部添加：
<?php session_start(); ?> - 确保它出现在
include 'header.php'、echo、HTML 标签甚至空白行之前 - 若使用函数封装逻辑，不要把
session_start()留在条件分支里——它必须无条件执行
检查并修复 session.save_path 权限与路径有效性
PHP 8.4 对会话存储路径校验更严格。若 session.save_path 目录不存在、不可写，或归属用户不是 Web 进程用户（如 www），会话将无法创建或中途丢失。
- 通过
phpinfo()或echo session_save_path();查看当前路径 - 若为默认
/tmp，运行：sudo chown www:www /tmp && sudo chmod 1777 /tmp - 若用自定义路径（如
/www/wwwroot/site.com/runtime/session）：
执行mkdir -p runtime/session && chown -R www:www runtime && chmod -R 755 runtime - 宝塔用户：进入 PHP 8.4 设置 → 配置修改 → 检查
session.save_path是否为绝对路径且已生效
同步关键配置项：cookie_lifetime 与 gc_maxlifetime
客户端 Cookie 过期和服务器端 Session 清理不匹配，是登录“突然掉线”的主因。两者必须协调一致。
立即学习“PHP免费学习笔记（深入）”；
- 设置
session.cookie_lifetime = 86400（24 小时），避免浏览器关闭即失效 - 设置
session.gc_maxlifetime = 86400，确保服务端保留时间 ≥ Cookie 时间 - 二者均需在
php.ini中修改，并重启 PHP-FPM（宝塔点「重载配置」） - 开发中可临时用代码覆盖：
session_set_cookie_params(86400, '/', '', false, true);<br>session_start();
（注意：必须在session_start()前）
适配环境与部署场景的关键调整
单机开发没问题，一上生产就丢 Session？往往卡在环境差异或跨域细节上。
-
禁用 strict mode：PHP 8.4 默认
session.use_strict_mode = 1，易拒收合法 ID；改为0 -
HTTPS 判断要准确：若站点未启用 HTTPS，
session.cookie_secure必须设为Off；否则浏览器不存 Cookie -
CLI 与 Web 配置统一：定时任务或命令行脚本若读写 Session，需确认 CLI 使用的
php.ini和 Web 模块完全一致（特别是session.save_path） -
跨域请求必加凭据：前端 fetch 需
credentials: 'include'；后端响应头加Access-Control-Allow-Credentials: true和具体Access-Control-Allow-Origin（不能为 *）
