PHP session_set_save_handler 如何实现数据库会话回收：写入、读取与过期清理

把 PHP 会话从默认文件存储改到数据库，关键不是把 $_SESSION 复制进一张表，而是让 PHP 认可一套完整的回调生命周期：open、read、write、close，以及销毁和垃圾回收。只要 read 返回的字符串与 write 收到的格式保持一致，会话就能稳定落库；过期清理则应该交给 gc，不要在每次请求里顺手删除一批记录。

推荐用实现 SessionHandlerInterface 的对象注册处理器：先用 read 恢复原始会话串，结束时由 write 原样保存，gc 只按 PHP 传入的 lifetime 清理旧记录。

先确认 PHP 会怎样调用会话处理器

请求执行 session_start() 时，PHP 先调用 open，然后调用 read，并把返回的会话编码内容恢复到 $_SESSION。请求结束或显式执行 session_write_close() 时，PHP 把当前会话重新编码后交给 write，再调用 close。destroy 只负责明确删除某个 id，gc 则按概率周期性清理过期数据。

这条顺序决定了表结构。示例使用 php_sessions，其中 id 是主键，data 保存 PHP 交给 write 的原始字符串，last_activity 用于过期判断。

用 SessionHandlerInterface 串起 open、read、write、close

pdo->prepare(
            'SELECT data FROM php_sessions WHERE id = :id'
        );
        $stmt->execute(['id' => $id]);
        return (string) ($stmt->fetchColumn() ?: '');
    }

    public function write(string $id, string $data): bool
    {
        $stmt = $this->pdo->prepare(
            'INSERT INTO php_sessions (id, data, last_activity)
             VALUES (:id, :data, CURRENT_TIMESTAMP)
             ON DUPLICATE KEY UPDATE
               data = VALUES(data), last_activity = CURRENT_TIMESTAMP'
        );
        return $stmt->execute(['id' => $id, 'data' => $data]);
    }

    public function close(): bool { return true; }
    public function destroy(string $id): bool
    {
        $stmt = $this->pdo->prepare('DELETE FROM php_sessions WHERE id = :id');
        return $stmt->execute(['id' => $id]);
    }

    public function gc(int $max_lifetime): int|false
    {
        $stmt = $this->pdo->prepare(
            'DELETE FROM php_sessions
             WHERE last_activity execute(['seconds' => $max_lifetime])
            ? $stmt->rowCount() : false;
    }
}

$handler = new DatabaseSessionHandler($pdo);
session_set_save_handler($handler, true);
session_start();

这里的关键节点是 session_start、read、write 和 gc：前两个负责恢复，write 负责保存，gc 负责回收。业务代码只读写 $_SESSION，不直接拼接序列化数据。

触发信号：登录成功但下一次请求丢失状态

遇到“登录接口返回成功，跳转后却像未登录”的现象，先不要怀疑数据库连接。按顺序记录 session_start 前后的 session id、read 的返回长度、write 的 data 长度，以及表中同一 id 的 last_activity。如果 write 有数据而 read 为空，通常是 id 字段不一致、查询条件错误，或把空记录返回成了错误格式。

快速判断 read 和 write 是否对称

write 收到的是 PHP session.serialize_handler 产生的内部格式，不要在写入时自行 json_encode，也不要在 read 时调用 unserialize 后再重新 serialize。最可靠的验收是：同一个 id 写入 data，下一次 read 返回完全相同的字符串。

处理步骤：注册对象并验证可见状态

1. 创建 php_sessions 表，确保 id 有唯一约束，data 使用可容纳较长会话串的文本类型，last_activity 建索引。可见成功状态是插入一条会话记录后，id、data、last_activity 均非空。

2. 在任何 session_start() 之前执行 session_set_save_handler($handler, true)。可见成功状态是请求能启动会话，且没有“Failed to initialize storage module”一类启动错误。

3. 写入 $_SESSION['user_id'] 后显式调用 session_write_close() 做一次边界测试。可见成功状态是数据库中的 data 长度大于零，随后请求能从 read 恢复该值。

4. 执行 session_destroy() 测试 destroy。可见成功状态是指定 id 的记录消失，而其他会话记录不受影响。

回滚路径：先恢复文件处理器，再定位数据库问题

如果切换后出现大面积登录丢失，可以暂时撤回 session_set_save_handler 的注册，让 PHP 使用原来的 files 处理器，再保留失败请求中的 session id、回调日志和数据库样本。不要在故障时批量删除 php_sessions，否则无法判断是写入失败还是回收过早。

gc 清理边界：按 max_lifetime 删除旧记录

gc 收到的 max_lifetime 来自 session.gc_maxlifetime。它不是“当前用户最后一次访问时间”，而是全局清理阈值。删除条件应比较 last_activity 与当前时间减去 lifetime；不要把每次 read 都当成删除任务，也不要写死 24 小时。

清理验收可以准备两条测试记录：一条让 last_activity 早于阈值，一条保持在阈值内。运行一次 gc 后，前者应被删除，后者应保留；返回值还应能反映删除行数或失败。

常见问题：告警确认与常见误区

为什么 read 返回 JSON 会出问题？

PHP 会自行解码处理器返回的会话格式。JSON 只有在你同时替换整套会话编码约定时才成立；普通自定义处理器应原样保存和返回 PHP 传入的 data。

为什么 close 里不适合做大批量清理？

close 位于一次会话写入之后，适合释放连接或完成轻量收尾。大批量清理放在 gc，才能遵守 PHP 的回收概率与 lifetime 语义。

PHP 8.4 还能用六个回调参数吗？

可以看到兼容代码，但 PHP 手册标明从 PHP 8.4 起，多参数形式已弃用，新的实现应使用 SessionHandlerInterface 对象形式。

复盘清单

• session_set_save_handler 是否早于 session_start 注册？
• read 是否对空记录返回空字符串？
• write 与 read 是否保留同一种原始格式？
• destroy 是否只删除指定 id？
• gc 是否使用传入的 max_lifetime，并能验证过期与未过期两条记录？