PHP会话劫持防护需在ID生成、传输、存储、验证四环节构建多层防御：强制HTTPS并设置cookie_secure/httponly/Samesite=Strict；登录后调用session_regenerate_id(true)并启用use_strict_mode；结合设备指纹校验；缩短gc_maxlifetime至1800秒，save_path设为私有目录，禁用trans_sid。
PHP会话劫持漏洞本质是攻击者获取了合法用户的Session ID，从而冒充身份发起请求。解决的关键不在于“堵住某一个口子”，而是在ID生成、传输、存储、验证四个环节建立多层防护。
强制启用HTTPS并设置Cookie安全属性
明文HTTP传输Session ID等于把钥匙挂在门口。必须确保所有含会话的页面走HTTPS，并让PHP只通过加密通道发送Cookie：
- 在
php.ini或入口脚本开头添加：ini_set('session.cookie_secure', 1);ini_set('session.cookie_httponly', 1);ini_set('session.cookie_samesite', 'Strict'); -
cookie_secure阻止HTTP下发送PHPSESSID；httponly防止XSS脚本读取；Samesite=Strict大幅降低CSRF和跨站窃取风险 - 若部署在反向代理后（如Nginx+HTTPS），还需加：
ini_set('session.cookie_secure', $_SERVER['HTTPS'] === 'on' ? 1 : 0);
登录后立即更换Session ID并启用严格模式
不换ID，就等于允许攻击者用登录前的旧ID直接进入账户——这是会话固定攻击的温床：
- 用户认证成功后第一件事：
session_regenerate_id(true);
参数true表示删除旧会话文件，避免残留可利用数据 - 全局启用严格模式：
ini_set('session.use_strict_mode', 1);
它拒绝任何未由服务器主动创建的Session ID，彻底封杀伪造ID尝试 - 避免在登录页之前调用
session_start()，否则可能提前暴露或固化ID
绑定客户端指纹，增加冒用成本
仅靠ID已不够，需叠加辅助验证维度。当检测到异常时可强制重新登录：
立即学习“PHP免费学习笔记（深入）”；
- 登录成功后，将关键环境特征存入会话：
$_SESSION['fingerprint'] = md5($_SERVER['HTTP_USER_AGENT'] . $_SERVER['REMOTE_ADDR']); - 每次敏感操作前校验：
if ($_SESSION['fingerprint'] !== md5($_SERVER['HTTP_USER_AGENT'] . $_SERVER['REMOTE_ADDR'])) { session_destroy(); header('Location: /login.php'); exit; } - 注意：IP可能变化（如移动网络、NAT），不宜单独依赖；UA也非绝对稳定，建议作为辅助而非唯一判断
控制会话生命周期与存储安全
过长有效期和弱存储路径会放大泄露后果：
- 缩短服务端存活时间：
ini_set('session.gc_maxlifetime', 1800);（30分钟） - 设客户端Cookie有效期为0（会话级）：
ini_set('session.cookie_lifetime', 0);，关闭浏览器即失效 - 修改默认存储路径，避开公共可读目录：
ini_set('session.save_path', '/var/tmp/phpsess');
并确保该目录权限为700且属主为Web服务运行用户 - 禁用
session.use_trans_sid，杜绝URL中暴露Session ID
