ThinkPHP Session无法持久保存的核心问题是“写进去了却读不到”或“读到了但没生效”，需从PHP底层机制、框架中间件顺序、存储路径权限、Cookie策略四层交叉验证。
ThinkPHP session无法持久保存，核心问题往往不在“写不进去”，而在于“写进去了却读不到”或“读到了但没生效”。这不是简单的配置改个数字就能解决，必须从PHP底层机制、框架中间件顺序、存储路径权限、Cookie策略四层交叉验证。
确认Session是否真正激活
很多问题其实卡在第一步：Session根本没启动。
- 在控制器或调试入口加 var_dump(session_status() === PHP_SESSION_ACTIVE)，返回 false 就说明Session未激活，后续所有操作都无效
- 检查 app/middleware.php 中是否包含 think\middleware\SessionInit::class，且它必须排在路由、鉴权等中间件之前
- 临时在 app/common.php 顶部加 session_start() 验证——若此时能读到数据，说明是中间件加载顺序问题；但上线前务必删掉，否则会绕过TP8.0的生命周期管理
检查Session驱动与存储路径权限
File驱动最常见静默失败：不报错，但 session('key') 始终返回 null。
- 运行 php -r "echo session_save_path();" 查看PHP实际使用的路径，不是 config/session.php 里写的那个路径就可能失效
- 进入该路径，执行 ls -ld . 确认目录存在，且 Web 进程用户（如 www-data、nginx）有 rwx 权限
- 若用 file 驱动，建议在 config/app.php 的 session 配置中显式指定 'path' => runtime_path('session')，并确保该目录已创建且可写：mkdir -p runtime/session && chmod -R 777 runtime/session
- 临时切换为 'type' => 'cache' 验证：若缓存驱动下Session恢复，基本锁定是文件驱动环境问题
核对Cookie安全策略与协议匹配
TP8.0默认开启 'secure' => true 和 'httponly' => true，极易导致HTTP环境下Cookie被浏览器拒绝。
立即学习“PHP免费学习笔记（深入）”；
- 打开浏览器开发者工具 → Application → Cookies，看是否有名为 PHPSESSID 的Cookie；若没有，大概率是 secure 标志导致HTTP请求不发送
- 本地开发或测试环境仍用HTTP时，必须在 config/session.php 中设 'secure' => false
- 检查 session.cookie_lifetime 和 session.gc_maxlifetime 是否一致：两者都需设为相同秒数（如7200），且修改后必须重启PHP-FPM或Web服务器，reload无效
- 用 phpinfo() 页面确认当前生效值，避免被Docker镜像、云平台或运行时覆盖层静默修改
验证过期逻辑是否真正生效
“设置了expire=7200，但10分钟就掉线”——这不是ThinkPHP Bug，而是配置未对齐。
- ThinkPHP的 'expire' 只在 session_start() 初始化时起作用，不影响已有会话；改完必须清空 runtime/session/ 或重启服务
- Redis驱动下，仅设 expire 不够，还需确认 handler_options 中有 'timeout' => 3600，且Redis扩展启用了 redis.session_expire（php.ini中）
- 若需精准控制“空闲超时”，不能只依赖GC，应在每次请求时更新 $_SESSION['last_activity'] = time()，并在入口统一校验：time() - $_SESSION['last_activity'] > 1800 则销毁并清除Cookie
