FrankenPHP 1.2 Worker 模式下 session 需手动管理：禁用自动启动，按需调用 session_start()；请求结束前必须清空 $_SESSION、调用 session_unset() 和 session_destroy()，并删除 cookie；统一使用 Redis 等非文件存储，配置严格模式与正确域，结合框架钩子确保 session 正确关闭。
FrankenPHP 1.2 的 Worker 模式下，session 不会自动跨请求隔离——这不是 bug，而是常驻进程的设计本质。PHP 默认的 $_SESSION 在 Worker 中一旦被写入，若未显式重置或销毁，就会被下一个请求复用，造成用户数据串扰（比如 A 用户登录态出现在 B 用户响应中）。解决核心就一条：每次请求结束前必须主动切断 session 生命周期。
禁用自动 session 启动，改用按需可控初始化
Worker 模式下，session_start() 若在 preload 阶段或入口顶部执行，会导致 session handler 被全局挂载、session 数据残留。应确保：
- 移除所有全局位置的
session_start()调用 - 仅在真正需要 session 的中间件或控制器中，按请求动态调用
session_start() - 使用
session_status() === PHP_SESSION_NONE做前置判断，避免重复启动 - 若框架封装了 session 管理（如 Laravel 的
SessionManager），优先走其接口而非裸调函数
显式销毁或重置 session 状态
请求处理完成后，不能依赖“脚本结束自动清理”。必须手动干预：
- 调用
$_SESSION = [];清空全部键值（不推荐仅unset($_SESSION)，因引用可能残留） - 执行
session_unset();+session_destroy();组合操作 - 删除客户端 cookie：
setcookie(session_name(), '', time() - 3600, '/', '', true, true); - 若使用自定义 session handler（如 Redis），还需显式调用
$handler->destroy(session_id())
统一 session 存储与域配置，避免底层错乱
残留问题常被误判为“逻辑没清”，实则源于存储层不一致：
立即学习“PHP免费学习笔记（深入）”；
- 确认
session.save_handler已设为redis或memcached，禁用files（文件存储在 Worker 下极易因进程共享导致锁竞争或读旧数据） - 设置
session.cookie_domain = '.yourdomain.com'（注意开头的点），确保子域间 session ID 可传递 - 强制启用严格模式：
ini_set('session.use_strict_mode', 1);，防止攻击者传入伪造 ID 导致会话固定 - 关闭透明 SID 传递：
ini_set('session.use_trans_sid', 0);，杜绝 URL 泄露 session id
结合框架生命周期做 session 钩子注入
在 frankenphp_handle_request() 回调中嵌入 session 控制点：
- Laravel：在请求结束前调用
app('session')->flush();和app('session.store')->regenerate(); - ThinkPHP 6：使用
think\Session::clear();并确保session_write_close();被触发 - 原生项目：在回调末尾加
if (session_status() === PHP_SESSION_ACTIVE) { session_write_close(); }
