PHP会话默认基于Cookie实现，会话ID存储在名为PHPSESSID的Cookie中，浏览器发起请求时会自动携带该Cookie完成会话匹配。但跨域场景下，Cookie的域限制、跨域请求默认不携带凭证等特性，会导致会话ID无法正确传递，最终出现会话中断的情况。
跨域跳转会话中断的核心原因
要解决问题首先需要明确会话中断的触发逻辑，常见原因有以下三类：
- Cookie的域限制：PHP默认生成的会话Cookie作用域为当前发起请求的域名，跨域跳转后目标域名无法读取该Cookie，自然无法匹配到原有会话。
- 跨域请求未携带凭证：浏览器在跨域请求时默认不会携带Cookie等凭证信息，即使目标服务器能识别会话ID，也接收不到对应的Cookie。
- SameSite属性限制：现代浏览器Cookie的SameSite默认值为Lax，跨域跳转场景下的Cookie不会被发送，导致会话ID丢失。
解决方案一：调整PHP会话Cookie参数
可以通过修改PHP的会话配置，将会话Cookie的作用域设置为顶级域名，同时调整SameSite属性，适配跨域场景。需要在会话启动前设置相关参数：
<?php
// 设置会话Cookie的参数，适配跨域场景
// 假设主域名为ipipp.com，子域名a.ipipp.com和b.ipipp.com需要共享会话
session_set_cookie_params([
'lifetime' => 0, // 会话Cookie，浏览器关闭后失效
'path' => '/', // Cookie作用路径
'domain' => '.ipipp.com', // 设置为顶级域名，所有子域名可共享
'secure' => false, // 如果是HTTPS环境设置为true
'httponly' => true, // 防止XSS攻击获取Cookie
'samesite' => 'None' // 允许跨域携带Cookie，需要配合secure=true（HTTPS环境）
]);
// 启动会话
session_start();
// 设置会话数据测试
$_SESSION['user_id'] = 1001;
echo "会话ID：" . session_id();
?>
注意如果SameSite设置为None，必须同时开启secure参数，也就是服务器需要使用HTTPS协议，否则Cookie无法被正确设置。
解决方案二：配置CORS允许跨域携带凭证
跨域请求时，服务器需要返回正确的CORS响应头，明确允许请求携带凭证，同时前端请求也需要开启凭证携带配置。首先看服务器端PHP的CORS配置代码：
<?php
// 允许跨域的域名，不要设置为*，否则无法携带凭证
header("Access-Control-Allow-Origin: https://a.ipipp.com");
// 允许请求携带Cookie等凭证
header("Access-Control-Allow-Credentials: true");
// 允许的请求方法
header("Access-Control-Allow-Methods: GET, POST, OPTIONS");
// 允许的请求头
header("Access-Control-Allow-Headers: Content-Type");
// 如果是OPTIONS预检请求，直接返回200
if ($_SERVER['REQUEST_METHOD'] == 'OPTIONS') {
exit(0);
}
// 启动会话
session_start();
// 输出当前会话中的用户ID
echo "当前会话用户ID：" . ($_SESSION['user_id'] ?? '未设置');
?>
前端发起跨域请求时，需要手动开启withCredentials属性，以原生Fetch和Axios为例：
// 原生Fetch请求示例
fetch('https://b.ipipp.com/session_check.php', {
method: 'GET',
credentials: 'include' // 携带跨域凭证
})
.then(response => response.text())
.then(data => console.log(data));
// Axios请求示例
import axios from 'axios';
axios.get('https://b.ipipp.com/session_check.php', {
withCredentials: true // 携带跨域凭证
})
.then(response => console.log(response.data));
解决方案三：手动传递会话ID（不推荐）
如果无法调整Cookie和CORS配置，可以通过URL参数手动传递会话ID，但这种方式安全性较低，容易被劫持，仅作为临时方案使用。示例代码如下：
<?php
// 接收URL传递的会话ID
if (isset($_GET['sess_id'])) {
session_id($_GET['sess_id']);
}
// 启动会话
session_start();
// 输出会话ID
echo "当前会话ID：" . session_id();
// 生成跨域跳转链接，手动拼接会话ID
$target_url = "https://b.ipipp.com/target.php?sess_id=" . session_id();
echo "<a href='" . $target_url . "'>跳转到跨域页面</a>";
?>
这种方式下，会话ID会暴露在URL中，存在安全风险，同时如果浏览器禁用Cookie，即使手动传递ID也可能无法生效，不建议在生产环境使用。
常见问题排查
如果按照上述方案配置后仍然出现会话中断，可以按照以下步骤排查：
- 检查浏览器开发者工具的Application面板，查看Cookie的Domain、SameSite、Secure属性是否符合预期。
- 查看网络请求的Request Headers中是否携带了Cookie字段，Response Headers中CORS配置是否正确。
- 确认跨域的两个域名是否在同一个顶级域名下，如果不是则无法通过设置domain共享Cookie，只能使用CORS+凭证的方案。
PHP_session跨域跳转会话保持CORS配置修改时间：2026-06-21 14:21:20