要关闭 PHP 8.4 中的会话 ID URL 传输，需设 session.use_trans_sid = Off（php.ini 或 ini_set），并配合 use_only_cookies = On、cookie_httponly = 1、cookie_secure = 1 和 use_strict_mode = 1 等加固措施。
要关闭 PHP 8.4 中的会话 ID URL 传输（即禁用 use_trans_sid），核心是彻底阻止会话 ID 通过 URL 参数（如 ?PHPSESSID=xxx）泄露，这是防止会话劫持、日志泄漏和书签残留的关键一步。
以下为具体配置方式，覆盖宝塔环境与手动配置场景，全部需在 session_start() 执行前生效：
确认并关闭 session.use_trans_sid
该选项一旦开启，PHP 会自动重写 HTML 链接、表单 action 等，把会话 ID 拼进 URL。必须设为 Off：
- 在
php.ini中修改：session.use_trans_sid = Off
- 或在入口脚本顶部（如
index.php）动态设置（注意：必须在session_start()前）：ini_set('session.use_trans_sid', '0'); session_start();
同步关闭关联透传机制
仅关 use_trans_sid 不够，还需限制其“辅助通道”：
立即学习“PHP免费学习笔记（深入）”；
-
session.trans_sid_tags：默认已限制为a=href,area=href,frame=src,form=，无需改动； -
session.trans_sid_hosts：若为空，则只允许当前HTTP_HOST透传——但既然已禁用主开关，此项实际不触发，可忽略； -
session.referer_check：非必需，且 HTTPS 下失效，建议不启用，避免误判干扰。
验证是否真正关闭
部署后，做两件事确认生效：
- 访问页面，检查浏览器地址栏是否不再出现
PHPSESSID=参数； - 查看页面源码，确认
<a href="...">、<form action="...">等标签中没有自动追加会话 ID。
补充加固建议
关闭 URL 透传只是基础，配合以下措施才完整：
- 强制
session.use_only_cookies = On（确保只走 Cookie 通道）； - 设置
session.cookie_httponly = 1和session.cookie_secure = 1（生产环境必须 HTTPS）； - 开启
session.use_strict_mode = 1（PHP 8.4 默认启用，可防会话固定；若因兼容问题临时关了，务必在登录后调用session_regenerate_id(true)补救）。
不复杂但容易忽略。
