PHP Session cookie 的 SameSite 和 Secure 怎么一起配置

登录接口已经调用了 session_start()，但浏览器里的 Session cookie 仍然没有 SameSite 或 Secure，通常不是 PHP 没有这个能力，而是配置时机和属性含义混在了一起。PHP 7.3 及以上可以在启动会话前用 options 数组一次设置它们；只要站点全程使用 HTTPS，secure 就应设为 true，而 samesite 再根据登录跳转场景选择 Lax 或 Strict。

SameSite 和 Secure 不是同一个开关

Secure 解决的是“通过什么协议发送”。开启后，Session cookie 只会在 HTTPS 连接中发送；如果本地仍用纯 HTTP 访问，表现就会像 Session 丢失。SameSite 解决的是“跨站请求是否携带 cookie”：Lax 会保留一部分跨站 GET 导航场景，Strict 则更严格。它们可以同时开启，也互不替代。

在 session_start 前用 options 数组统一设置

不要先启动会话，再补发一个同名 cookie。PHP 手册提供了数组形式的 session_set_cookie_params()，也可以直接把 cookie 选项交给 session_start()。下面的入口代码每次请求都执行一次，且没有把域名写死，适合单域名应用。

 0,       // 关闭浏览器后删除会话 cookie
    'cookie_path' => '/',          // 让整个站点共享 Session
    'cookie_secure' => true,       // 生产环境只经 HTTPS 发送
    'cookie_httponly' => true,      // 前端脚本不能直接读取 Session ID
    'cookie_samesite' => 'Lax',    // 保留常见的站外 GET 登录跳转
    'use_strict_mode' => true,     // 拒绝未由服务端初始化的 Session ID
]);

// 业务代码从这里开始读取或写入 $_SESSION。
$_SESSION['user_id'] = 42;

如果项目把参数集中放在 php.ini 或运行时配置中，也可以使用：

 0,
    'path' => '/',
    'secure' => true,
    'httponly' => true,
    'samesite' => 'Lax',
]);

// 参数设置完成后再启动会话。
session_start();

登录回调中怎么选 Lax 或 Strict

如果用户从邮件、第三方门户或身份提供商页面跳回本站，先确认回调是顶层导航还是跨站 POST。Lax 对常见的跨站 GET 导航更宽松，通常比较适合普通站点登录；Strict 会进一步限制跨站 GET，适合不需要依赖站外导航携带 Session 的敏感后台。若业务确实依赖跨站 POST，不能只改成 Strict 或 Lax 就解决，应单独设计回调凭据和 CSRF 校验。

SameSite 不是 CSRF 防护的全部。表单修改数据时仍应使用服务端生成、绑定用户会话的 CSRF token；HttpOnly 也不能阻止浏览器自动发送 cookie，只是让 JavaScript 更难直接读取它。

别把 cookie 过期时间和服务端 Session 生命周期混为一谈

cookie_lifetime=0 表示浏览器关闭时删除 cookie，但服务端保存的 Session 数据还要受 session.gc_maxlifetime 和具体 save handler 影响。反过来，cookie 仍在浏览器里，也不代表服务端数据一定存在。需要长期登录时，应另做安全的记住登录机制，不要简单把 Session ID 改成很长的永久 cookie。

发布前按四项清单排查

1. 确认生产入口已经是 HTTPS，并检查反向代理没有让应用误判协议。
2. 确认 cookie 选项在每个请求的 session_start() 前执行，不能只在某个登录动作里设置。
3. 确认登录回调、跨站表单和前端域名关系，再选择 Lax 或 Strict。
4. 确认浏览器 cookie 过期策略与服务端 Session 清理策略分别可解释。

常见问题

为什么打开 Secure 后本地登录失效？

如果本地访问仍是 HTTP，浏览器不会发送带 Secure 属性的 cookie。为本地开发准备 HTTPS，或使用明确区分的开发配置，不要把生产配置随意改回不安全状态。

SameSite 可以写成小写的 lax 吗？

按 PHP 手册的 options 说明，建议使用 Lax 或 Strict 这两个明确值，避免在不同运行环境中引入不必要的兼容差异。

设置了 cookie_lifetime 为什么 Session 文件还在？

这是正常的边界差异。cookie_lifetime 控制浏览器保存的 cookie；服务端文件或其他存储中的 Session 数据由 GC 和 save handler 清理。

这套配置的关键不是把属性堆在一起，而是让协议、跨站请求、脚本访问和服务端存储各自承担清晰职责。先保证 HTTPS 和配置时机，再根据真实登录路径选择 SameSite，排查结果会比反复刷新 cookie 更可靠。