PHP中session需手动启动且须在任何输出前调用session_start()，通过$_SESSION操作数据，注意安全存储、防会话固定及正确销毁。
PHP中的session是用来在多个页面请求之间保存用户数据的机制。它不是自动开启的，需要手动启动，而且依赖服务端存储（默认是文件），配合客户端cookie传递session ID。理解session的创建、使用和销毁，是做用户登录、购物车等状态管理功能的基础。
如何正确创建和启用session
session必须在任何输出（包括空格、换行）之前调用session_start()，否则会报“headers already sent”错误。
- 确保PHP文件开头没有空行、BOM字符或echo/print语句
- 推荐在项目入口统一开启：比如index.php第一行就写session_start();
- 启用后，$_SESSION超全局数组即可读写，例如：$_SESSION['user_id'] = 123;
- session ID默认通过cookie发送，也可通过URL参数（不推荐，不安全）
怎么安全地使用session数据
session本身不加密，存入的数据直接明文写在服务端（如/tmp目录下的文件），所以别存敏感信息如密码、银行卡号。
- 只存必要标识，比如$_SESSION['logged_in'] = true; 或 $_SESSION['username'] = 'alice';
- 登录成功后建议调用session_regenerate_id(true);防止会话固定攻击
- 敏感操作前检查session是否存在且有效：if (isset($_SESSION['user_id'])) { ... }
session的销毁有三种常见场景
销毁不等于“清空”，要分清楚：删除数据、删除ID、清理存储。三者常需组合使用。
立即学习“PHP免费学习笔记（深入）”；
- 注销登录：用$_SESSION = [];清空内容，再调用session_destroy();删服务端文件；同时删除客户端cookie：setcookie(session_name(), '', time() - 3600);
- 临时失效：仅清空当前数据（$_SESSION = [];），不删session文件，下次访问仍可用原ID
- 过期控制：靠session.gc_maxlifetime（默认1440秒）和垃圾回收机制，也可在写入时加时间戳自行判断
基本上就这些。session本身不复杂，但容易忽略启动时机、安全处理和彻底销毁这几个关键点。
