在PHP开发中，跨页面传递变量是很多场景下的刚需，比如用户登录后需要在多个页面共享登录状态、购物车数据需要在不同商品页和结算页同步。如果直接使用GET参数或者POST表单传递敏感用户数据，很容易出现数据泄露、被恶意篡改的问题，而Session作为服务器端存储机制，是安全实现跨页面变量传递的常用方案。
Session的工作原理
Session的核心逻辑是服务器端为每个访问用户创建独立的存储区域，同时给客户端下发一个唯一的Session ID，后续客户端请求时携带这个Session ID，服务器就能找到对应用户的存储数据，实现跨页面共享变量。
和Cookie不同，Session的数据存储在服务器端，客户端只能拿到无意义的Session ID，即使被拦截也无法直接获取敏感内容，安全性更高。
使用Session传递变量的基本步骤
1. 开启Session
在使用Session之前必须先开启，通常放在脚本的最开头，注意开启Session前不能有任何输出，否则会报错。
<?php // 开启Session session_start(); // 后续就可以操作Session变量了 ?>
2. 存储跨页面变量
开启Session后，所有需要跨页面传递的变量都可以存储在$_SESSION超全局数组中，这个数组在用户会话期间一直有效。
<?php session_start(); // 存储用户登录信息到Session $_SESSION['user_id'] = 1001; $_SESSION['username'] = 'test_user'; $_SESSION['login_time'] = time(); echo '变量已存储到Session'; ?>
3. 其他页面读取Session变量
在需要获取这些变量的页面，同样先开启Session，就可以直接读取$_SESSION数组中的内容。
<?php
session_start();
// 判断Session中是否存在用户ID
if (isset($_SESSION['user_id'])) {
echo '当前登录用户ID：' . $_SESSION['user_id'];
echo '用户名：' . $_SESSION['username'];
} else {
echo '未登录，请先登录';
}
?>Session的安全管理注意事项
虽然Session本身比客户端存储安全，但如果使用不当还是会有风险，需要注意以下几点：
- 不要在Session中存储过于敏感的信息，比如用户明文密码，即使存在服务器端也不建议存放这类数据。
- 设置合理的Session过期时间，避免用户长期不操作还保留登录状态，可以通过
session.gc_maxlifetime配置或者手动设置过期逻辑。 - 避免Session ID被劫持，建议开启HTTPS传输，同时可以定期重新生成Session ID，使用
session_regenerate_id()函数实现。 - 用户退出登录时要及时销毁Session，避免数据残留。
退出登录销毁Session示例
<?php
session_start();
// 清空Session数组
$_SESSION = array();
// 如果需要销毁对应的Cookie，可以删除Session的Cookie
if (ini_get('session.use_cookies')) {
$params = session_get_cookie_params();
setcookie(session_name(), '', time() - 42000,
$params['path'], $params['domain'],
$params['secure'], $params['httponly']
);
}
// 最后销毁Session
session_destroy();
echo '已退出登录，Session已销毁';
?>常见问题说明
有时候会遇到Session变量读取不到的问题，首先检查两个页面是否都调用了session_start()，其次确认Session ID是否一致，如果客户端禁用了Cookie，可能需要通过URL传递Session ID，但这种方式安全性更低，不建议在生产环境使用。
另外如果服务器做了负载均衡，多台服务器之间需要共享Session存储，比如用Redis统一存储Session数据，避免用户请求到不同服务器时Session丢失。