PHP跨文件数据共享：使用会话（Session）安全传递变量的教程
在PHP开发中，我们经常会遇到需要在不同页面之间共享数据的情况，比如用户登录后需要在多个页面都获取用户的基本信息，或者用户在表单页面填写的内容需要在提交后的处理页面中使用。由于HTTP协议本身是无状态的，默认情况下不同请求之间无法保留数据，而会话（Session）就是PHP提供的解决这类问题的核心方案之一，它可以在用户的一次会话期间，在多个页面之间安全地传递和存储数据。
什么是Session
Session是服务器端的技术，当客户端第一次访问服务器时，服务器会为该客户端创建一个唯一的Session ID，并通过响应头将这个ID返回给客户端，通常客户端会把这个ID存储在Cookie中。之后客户端的每次请求都会携带这个Session ID，服务器通过ID找到对应的Session数据，从而实现跨页面的数据共享。
和直接把数据存在Cookie中相比，Session把数据存储在服务器端，客户端只保存一个无意义的ID，安全性更高，也更适合存储敏感的用户信息。
使用Session的基本步骤
使用Session实现跨文件数据共享，只需要遵循以下三个核心步骤即可：
- 在需要使用Session的页面开头启动Session
- 在源页面中向Session变量存储数据
- 在目标页面中读取Session变量中的数据
步骤1：启动Session
在使用Session相关的功能之前，必须先启动Session，这一步需要在所有输出（包括HTML标签、空格、换行）之前完成，否则会出现“ headers already sent”的错误。启动Session需要使用session_start()函数，这个函数会检查当前请求是否携带了有效的Session ID，如果有就恢复对应的Session数据，如果没有就创建新的Session并生成ID。
下面是一个启动Session的简单示例，这个代码需要放在页面的第一行：
<?php // 启动Session，必须在所有输出之前调用 session_start(); ?>
步骤2：向Session存储数据
Session启动之后，所有的Session数据都存储在超全局数组$_SESSION中，这个数组在会话周期内全局可用。我们可以像操作普通数组一样，给$_SESSION赋值来存储数据，存储的数据会在整个会话期间保留，直到Session被销毁或者过期。
比如我们有一个用户登录的页面login.php，用户登录成功后，我们可以把用户ID和用户名存到Session中：
<?php // 启动Session session_start(); // 假设这里是验证用户登录的逻辑，验证通过后执行下面的存储操作 $user_id = 1001; $username = '张三'; // 向Session中存储用户数据 $_SESSION['user_id'] = $user_id; $_SESSION['username'] = $username; $_SESSION['login_time'] = time(); // 存储登录时间戳 echo '登录成功，数据已存入Session'; ?>
步骤3：在其他页面读取Session数据
只要在同一个会话中（也就是同一个客户端携带相同的Session ID访问），其他页面只要先启动Session，就可以直接读取$_SESSION数组中的数据，不需要额外的传递操作。
比如我们有一个用户中心页面user_center.php，需要显示当前登录用户的信息，就可以这样写：
<?php
// 启动Session，恢复之前的Session数据
session_start();
// 检查Session中是否存在用户信息，避免未登录用户访问
if (isset($_SESSION['user_id'])) {
$user_id = $_SESSION['user_id'];
$username = $_SESSION['username'];
$login_time = date('Y-m-d H:i:s', $_SESSION['login_time']);
echo "欢迎回来，{$username}！<br/>";
echo "你的用户ID是：{$user_id}<br/>";
echo "你登录的时间是：{$login_time}";
} else {
echo '你还未登录，请先登录';
}
?>Session的安全注意事项
虽然Session比Cookie更安全，但使用时也需要注意一些安全问题：
- 不要在Session中存储过于敏感的信息，比如用户密码的明文，即使Session存在服务器端，也建议只存必要的标识信息，密码等敏感数据可以加密后存储，或者只存验证后的标识。
- 及时销毁不需要的Session数据，比如用户退出登录时，除了清除Session数据，还要销毁Session本身，避免数据残留被他人利用。
- 可以对Session ID进行二次验证，比如绑定用户的User Agent或者IP地址，在读取Session时检查当前请求的User Agent是否和存储时一致，减少Session劫持的风险。
销毁Session的方法
当用户退出登录，或者需要清空Session数据时，不能直接unset$_SESSION就结束，正确的销毁流程需要三步：
- 启动Session
- 清空
$_SESSION数组 - 调用
session_destroy()函数销毁服务器端的Session文件 - 可选：删除客户端保存Session ID的Cookie
下面是一个退出登录的示例logout.php：
<?php
// 启动Session
session_start();
// 清空所有Session变量
$_SESSION = array();
// 如果需要彻底销毁Session，还要删除客户端的Session Cookie
if (ini_get("session.use_cookies")) {
$params = session_get_cookie_params();
setcookie(session_name(), '', time() - 42000,
$params["path"], $params["domain"],
$params["secure"], $params["httponly"]
);
}
// 最后销毁服务器端的Session
session_destroy();
echo '退出登录成功，Session已销毁';
?>常见问题解答
为什么启动Session的时候会报错“headers already sent”？
这个错误是因为在调用session_start()之前已经有了输出，比如HTML标签、空格、换行、echo输出等。session_start()需要发送Session相关的响应头，而HTTP协议规定响应头必须在响应体之前发送，所以必须把session_start()放在所有输出的前面，甚至前面的PHP闭合标签?>之后也不要有空行。
Session的默认过期时间是多久？
Session的默认过期时间由php.ini中的session.gc_maxlifetime配置决定，默认是1440秒（24分钟），这个时间指的是Session数据在服务器端的最长存活时间，超过这个时间后，垃圾回收机制可能会清理掉对应的Session文件。如果需要在代码中自定义过期时间，可以通过ini_set('session.gc_maxlifetime', 3600)设置，单位是秒。
如果客户端禁用了Cookie，Session还能用吗？
默认情况下Session ID是通过Cookie传递的，如果客户端禁用了Cookie，可以通过URL重写的方式传递Session ID，也就是把Session ID作为参数拼接在URL后面，不过这种方式安全性更低，且使用起来不方便，现在大部分场景都会要求客户端开启Cookie支持。