Session偶发串号主因是Cookie域名、路径或SameSite属性不一致，导致浏览器错乱携带不同用户Session ID；FrankenPHP因默认启用HTTP/2、无Nginx header rewrite层、不继承proxy_cookie_domain等行为，使原有凑合配置暴露为跨子域冲突或中间件失效。
Session 偶发串号不是 FrankenPHP 特有 bug，而是 Session 标识链路在迁移后某处被复用或混淆了——最常见原因是 Cookie 域名、路径或 SameSite 属性不一致，导致浏览器在多个请求中错乱携带不同用户的 Session ID。
为什么 FrankenPHP 下更容易暴露串号问题
FrankenPHP 默认启用 HTTP/2 和更严格的响应头处理，且不经过 Nginx 的 header rewrite 层。原来在 Nginx 配置里“凑合能用”的 domain 或 path 设置（比如漏写 domain、设成 .example.com 却没配通配符证书），在 FrankenPHP 下会直接暴露为跨子域 Cookie 冲突；另外，FrankenPHP 的静态文件服务默认不走 PHP 生命周期，public/ 下的资源请求不会触发 StartSession 中间件，但若前端 JS 错误地从这些路径发起带凭证的 AJAX，就可能复用旧 Cookie 上下文。
- FrankenPHP 不会自动继承你旧 Nginx 的
proxy_cookie_domain行为，所有 Cookie 属性必须由 Laravel 自己生成 - 如果你用 Caddyfile 做了重写（如把
/api/反代到其他服务），而没显式设置header_up Host {http.request.host}，Host 头丢失会导致 Laravel 的url()生成错误，间接影响 Session Cookie 域名判断 - 开发时用
localhost:8080，生产切到app.example.com，但.env里SESSION_DOMAIN没同步更新，就会让两个域名共用同一份 Cookie 存储区
检查 SESSION_DOMAIN 和 SESSION_PATH 是否匹配实际访问地址
串号本质是不同用户请求被服务端识别为同一个 Session ID，而根源常出在 Cookie 作用域配置上。Laravel 生成的 Set-Cookie 头必须和浏览器当前 URL 完全匹配，否则浏览器可能忽略它、或把新旧 Cookie 混在一起发。
- 打开浏览器开发者工具 → Application → Cookies，看当前页的
laravel_sessionCookie 的Domain字段值是否等于你正在访问的完整域名（不含www.前缀？含？） - 对比登录页和后续页面的 Cookie Domain：如果登录页是
app.example.com，跳转后变成www.example.com，而SESSION_DOMAIN设的是.example.com，就可能让两个子域共享 Session —— 这不是 FrankenPHP 的错，但 FrankenPHP 不帮你“擦屁股” -
SESSION_PATH必须设为/（默认），除非你明确只在某个子路径下跑 Laravel；设成/admin后，API 请求若从/api/login发起，就不会带上该 Cookie - 执行
php artisan tinker，输入config('session.domain')和config('session.path')，确认输出和你浏览器地址栏完全一致
确认 FrankenPHP 没绕过 web 中间件组
FrankenPHP 经典模式下仍走标准 PHP-FPM 兼容流程，但若你手动改过 Caddyfile，比如用 php_backend 直接转发到 public/index.php 而没走 Caddy 的 php 指令，就可能跳过 Caddy 对 PHP 请求的标准化处理（如 Host、Referer、Origin 头补全），导致 Laravel 的 StartSession 中间件因请求上下文异常而失效或复用错误实例。
立即学习“PHP免费学习笔记（深入）”；
- 检查你的
Caddyfile是否包含类似php指令（推荐），而不是reverse_proxy到一个独立 PHP 进程 - 在路由中加个临时调试点：
Route::get('/debug/session', function () { return response()->json(['id' => session_id(), 'cookie' => $_COOKIE['laravel_session'] ?? null]); });，分别用不同账号登录后访问该地址，看返回的id和 Cookie 值是否真的不同 - 如果发现多个用户返回相同
session_id()，但$_COOKIE['laravel_session']不同，说明服务端没读取 Cookie —— 很可能是SESSION_SECURE_COOKIE设为true但你没开 HTTPS，浏览器拒绝发送该 Cookie
Session 驱动切换后未清理旧 file 数据
迁移到 FrankenPHP 前，你大概率用的是 file 驱动；切换到 database 或 redis 后，若没清空旧的 storage/framework/sessions/ 文件，又没关掉 gc_probability，PHP 内置 Session GC 可能误删新驱动里的有效数据，或更糟：在并发请求中，file 驱动残留的 session 文件和 database 驱动的新记录同时存在，中间件读取逻辑混乱，造成“看起来串号”。
- 执行
rm -rf storage/framework/sessions/*，确保 file 驱动彻底退出历史舞台 - 检查
config/session.php中'driver' => env('SESSION_DRIVER', 'database')，并确认.env里SESSION_DRIVER=database（或redis） - 运行
php artisan session:table && php artisan migrate，确保sessions表已创建且payload字段是longtext（MySQL 8.0+）或text（兼容老版本） - 用
Redis::connection()->keys('laravel_session*')（如果用 redis）快速扫一眼是否有大量过期 key 残留，有就Redis::connection()->flushdb()
串号问题最难缠的地方在于它不总发生——往往只在特定子域、特定浏览器、特定并发节奏下才露头。不要依赖“多试几次”，重点盯死 Cookie 的 Domain/Path/Secure 属性是否和当前请求 URL 100% 对齐，以及 FrankenPHP 的 Caddyfile 是否无意中破坏了请求头完整性。一旦确认这两点，90% 的偶发串号都能定位到根上。
