ThinkPHP的Session怎么管理？ThinkPHP如何设置Session过期？

ThinkPHP的Session管理通过封装PHP原生机制实现，提供设置、获取、删除、清空等操作接口，并支持通过expire配置项和PHP的session.gc_maxlifetime协同控制过期时间，同时提供文件、数据库、Redis等多种驱动以适应不同场景需求。

• 设置Session值使用session('key', 'value')形式，例如存储用户ID：session('user_id', $userId);
• 获取Session值使用session('key')，若键不存在则返回null，例如获取用户ID：$userId = session('user_id');
• 删除单个Session项使用session('key', null)，例如删除用户ID：session('user_id', null);
• 清空所有Session数据调用session(null)即可彻底清理所有Session数据：session(null);

• 通过expire配置项设置逻辑过期时间在config/session.php或app.php中配置expire（单位为秒），例如设置为1小时（3600秒）：

  return [ 'expire' => 3600, // 1小时];

  该值决定Session的逻辑生命周期，超过此时间未活动则视为过期。

• PHP原生session.gc_maxlifetime控制物理文件生命周期在php.ini中设置session.gc_maxlifetime（单位为秒），例如设置为24分钟（1440秒）：

  session.gc_maxlifetime = 1440

  此值决定Session文件在服务器上的最长存活时间，与ThinkPHP的expire配合实现逻辑与物理双重过期控制。

• 逻辑过期由ThinkPHP的expire配置控制，当Session最后一次活动时间超过expire设定值时，业务逻辑层面视为无效，调用session('key')返回null。

• 物理过期由PHP的session.gc_maxlifetime和垃圾回收机制（GC）控制。GC通过session.gc_probability和session.gc_divisor（如1/100）概率触发，清理超过gc_maxlifetime的Session文件。

• 协同作用expire确保业务逻辑及时失效，gc_maxlifetime和GC定期清理物理文件。若Session未按预期失效或文件堆积，需检查gc_maxlifetime是否过长或GC概率过低。

• 文件驱动（File）默认驱动，适合小型项目，配置如下：

  return [ 'type' => 'File', 'expire' => 3600, 'path' => RUNTIME_PATH . 'session', // 可指定存储路径];

• 数据库驱动（Database）需创建Session表（如think_session），并配置数据库连接信息：

  return [ 'type' => 'Database', 'expire' => 3600, 'table' => 'think_session', 'connection' => [ 'hostname' => '127.0.0.1', 'database' => 'session_db', 'username' => 'root', 'password' => 'root', ],];

• Redis驱动（Redis）适合高性能场景，需安装php-redis扩展，配置如下：

  return [ 'type' => 'Redis', 'expire' => 3600, 'host' => '127.0.0.1', 'port' => 6379, 'password' => '', 'select' => 0,];

• 常见问题

  过期不生效：混淆expire与gc_maxlifetime，或GC未运行。需确保gc_maxlifetime≥expire，并检查GC概率设置。

  数据丢失：多服务器未共享Session或磁盘空间不足。生产环境推荐使用Redis或数据库驱动，并定期检查磁盘空间。

  Session劫持：未更新Session ID导致攻击者冒充。用户登录后调用session_regenerate_id(true)重新生成ID。

  数据量过大：存储复杂数据导致性能下降。Session仅存储必要标识（如用户ID），其他数据存入缓存或数据库。

  跨子域共享：默认Cookie仅对当前域名有效。设置session.cookie_domain为顶级域名（如.example.com）实现共享。

• 最佳实践

  驱动选择：小型项目用文件驱动，中大型或分布式项目用Redis或数据库驱动。

  过期时间设置：根据业务需求和安全策略配置，敏感操作Session设置较短过期时间。

  安全措施：登录后重新生成Session ID，设置Cookie的HttpOnly和Secure属性（HTTPS环境）。

  监控与错误处理：监控Session存储服务状态（如Redis连接），捕获并记录Session操作异常。

  理解GC机制：熟悉PHP垃圾回收机制，便于排查Session过期问题。