PHP 8 中正确使用 Session 保存登录态，核心是统一在入口文件顶部调用 session_start()（无任何输出），登录后存 $_SESSION['user_id'] 等必要字段并强制类型转换，各页面及 AJAX 接口均需启动会话并双重校验 isset() 与 is_int()，登出时需 $_SESSION = []; session_destroy(); 并手动清除 Cookie，同时配置 cookie_secure、httponly 和 session_regenerate_id(true) 提升安全性。
PHP 8 中用 Session 保存登录态，核心是正确启动会话、安全存取用户数据、规范销毁流程。和早期 PHP 版本相比，PHP 8 对 session 的底层行为没有颠覆性改动，但强化了类型安全与错误提示，因此写法需更严谨，避免隐式转换或未声明变量引发警告。
一、登录成功后启动并写入 Session
必须在任何输出（包括空格、BOM、HTML）之前调用 session_start()，且建议统一在项目入口或公共初始化文件中执行一次，避免重复调用导致“headers already sent”错误。
- 登录验证通过后立即启动会话：
session_start(); - 只存必要字段，如用户 ID 和角色，避免直接存密码、敏感 token：
$_SESSION['user_id'] = (int)$row['id']; $_SESSION['role'] = $row['role'] ?? 'user'; - 推荐强制类型转换和空合并，防止弱类型隐患（PHP 8 更严格）
二、跨页面验证登录状态
每个受保护页面开头都要调用 session_start()，再检查关键键是否存在且有效。
- 用
isset($_SESSION['user_id']) && is_int($_SESSION['user_id']) && $_SESSION['user_id'] > 0双重校验，比单纯isset()更可靠 - 若校验失败，应使用
header('Location: login.php'); exit;跳转，并确保跳转前无任何输出 - AJAX 接口也需同样处理——不能只在登录页启动 session，所有后端脚本（如 api/login_check.php）都必须有
session_start()
三、登出时彻底清除 Session
仅调用 session_destroy() 不够，PHP 8 下仍可能残留 cookie 或数组引用，必须组合操作：
立即学习“PHP免费学习笔记（深入）”；
- 先
session_start();加载当前会话 - 清空 $_SESSION 数组：
$_SESSION = [];（不是unset($_SESSION)） - 销毁服务端 session 文件：
session_destroy(); - 手动删除客户端 cookie：
setcookie(session_name(), '', time() - 3600, '/', '', true, true);（Secure和HttpOnly推荐始终开启）
四、增强安全性与兼容性的配置建议
PHP 8 默认不启用 session.auto_start，推荐显式控制。可在入口文件顶部或 php.ini 中设置：
- 延长有效期（如 24 小时）：
ini_set('session.cookie_lifetime', 86400); - 强制安全传输：
ini_set('session.cookie_secure', 1);（仅 HTTPS 环境生效） - 防 XSS 注入：
ini_set('session.cookie_httponly', 1); - 防会话固定攻击：登录成功后调用
session_regenerate_id(true);换新 ID 并删除旧文件
