PHP session 过期后怎样保留安全的回跳地址

PHP session 过期后，安全回跳不应依赖恢复已经丢失的旧 session。更稳妥的做法是在下一次请求被判定需要登录时，把当前获准返回的只读页面映射成服务端路由 ID，短期保存在新的匿名会话里；真实登录成功后消费一次，再跳到固定站内路径。目的页仍必须重新鉴权。

PHP 官方会话文档：https://www.php.net/manual/en/features.session.security.management.php

旧 session 没了，为什么还可以保留回跳意图

两件事发生在不同时间：过期的认证数据可能已不存在，但用户此刻访问哪个受保护页面，服务端路由器仍然知道。可以据此建立新的导航意图，而不能借机延长旧身份。若应用采用空闲超时或绝对超时，应先按原有规则清理过期认证信息，再进入匿名登录流程。

用户若从此以后没有再发请求，服务端也无从知道浏览器当时停在哪个标签页。本例只处理“过期后再次访问页面”的请求，不保存尚未提交的表单，更不能从已删除会话里凭空找回内容。

为什么不直接把 next 参数放进 Location

来自查询串、隐藏字段、Referer 或原始请求 URI 的内容，都不应直接成为重定向目标。只检查某个前缀也不够：地址解析、编码以及下游二次跳转都可能扩大风险。OWASP 建议优先使用短名称或 ID，由服务器映射目标。

这里使用 routeId、RETURN_ROUTES、固定路径三个对象。documents 只对应 /app/documents，profile 只对应 /app/profile；映射不附带任意查询参数。这是一种刻意收窄的导航功能，不是通用 URL 校验器。

怎样保存短期意图，并在登录后只用一次

以下 PHP 8.1+ 辅助代码假定应用已配置安全会话管理。它没有实现密码校验、CSRF、防暴力破解或超时判断，不可直接当作完整登录系统。300 秒是示例选择的回跳期限，不是认证有效期或通用标准。本文未运行登录服务或代码测试。

 '/app/documents',
    'profile' => '/app/profile',
];

function requireSession(): void
{
    // 由应用安全会话层启动会话；此辅助模块不自行恢复过期身份。
    if (session_status() !== PHP_SESSION_ACTIVE) {
        throw new LogicException('需要活动会话');
    }
}

function rememberReturn(string $routeId, string $method): void
{
    requireSession();
    unset($_SESSION['return_intent']);
    // routeId 来自服务端已匹配路由；不接收 next URL 或原始请求地址。
    if ($method !== 'GET' || !isset(RETURN_ROUTES[$routeId])) {
        return;
    }
    $_SESSION['return_intent'] = [
        'route' => $routeId,
        'expires' => time() + 300,
    ];
}

function consumeReturnPath(): string
{
    requireSession();
    $intent = $_SESSION['return_intent'] ?? null;
    // 先消费，重复调用不会重复使用；默认回到固定站内首页。
    unset($_SESSION['return_intent']);
    if (!is_array($intent)) {
        return '/app';
    }
    $route = $intent['route'] ?? null;
    $expires = $intent['expires'] ?? null;
    if (!is_string($route) || !is_int($expires)
        || $expires 

接入时，认证中间件在确认当前身份失效并完成匿名会话处理后，使用服务端已匹配的 routeId 与请求方法调用 rememberReturn，然后跳转到固定的 /login。登录页、资源请求和注销接口不要反复调用这个函数，否则会覆盖导航意图。

真实登录处理器完成凭据核验、CSRF 校验和认证会话更新后，再调用 redirectAfterVerifiedLogin。该函数名称不是认证证明，调用位置才是安全边界。若会话更新采用重建容器而不是保留数据，应只迁移校验后的 return_intent 白名单字段，不能整体复制旧身份及权限。

PHP header 必须在响应输出之前调用。这里使用 303 并立即 exit；这样登录提交后进入导航页面，不继续执行其后的业务代码。仅发送 Location 不代表脚本已经停止。

POST、多个标签页和换账号时怎么办

需要按标签页区分时，可设计随机流程 token，并在服务端绑定导航 ID、期限、所属匿名会话和一次消费状态；不能把流程 token 当作登录凭据。跨会话、跨设备恢复则是另一套设计，不应靠延长此例的导航期限实现。

若要回到文档详情，应保存结构化且经过类型检查的文档标识，再由服务器路由生成器构造路径，并按新登录用户重新验证访问权。本例主动省略这些动态参数，避免把“任意查询串也能保存”留成隐含能力。

接入后应确认哪些行为

建议读者自行覆盖白名单 GET、未知路由、POST、意图过期、重复消费、登录失败后重试以及不同账号登录等场景。目的页拒绝访问时应给出明确提示，而不是再次无限跳回登录。本文没有执行这些检查，不提供上线安全保证。

session.cookie_lifetime 能代替回跳保存吗？不能。浏览器持有 cookie 与服务端认证是否有效、会话记录是否存在是不同问题，不能为了回跳而盲目延长身份有效期。

把回跳地址放在 session 就天然安全吗？不是。若保存的是未检查的外部 URL，只是把不可信输入换了存储位置。

登录失败时是否消费意图？本例只在真实成功钩子消费。失败时可以保留到短期截止时间，但不应无限延长，也不能把未知目标恢复成外部地址。

归根结底，保留的是“想去哪个获准页面”，不是“恢复原来的权限与操作”。短期路由意图、真实登录和目的页授权分开管理，回跳才不会变成认证绕过或自动重放通道。

参考：https://cheatsheetseries.owasp.org/cheatsheets/Unvalidated_Redirects_and_Forwards_Cheat_Sheet.html；https://www.php.net/manual/en/function.header.php。