我正在运行一个 https 站点，并希望在 php.ini 中打开这些以提高安全性：
session.cookie_httponly = 1
session.cookie_secure = 1
我可以在网络上找到很多关于此的信息，但在打开此功能时无法找到旧会话 ID 的持久性。
开启此功能是否会导致用户自动注销，因为 php 现在需要安全 cookie，但登录用户没有这些 .. 切换后？
【问题讨论】：
标签： php security session-cookies
是的，它会将他们注销，因为他们的会话将结束。
【讨论】：
有趣的是，在我的职业生涯中，我已经为数百个使用 HTTPS 的网站启用了此功能，并且从未让所有人退出。
这些 .ini 设置通常应用于新的会话 cookie，secure 标志是让浏览器知道不通过纯文本 HTTP 传输。它不应该有任何追溯性后果。
session_start() 的代码调用一个名为 php_session_start() 的 C 函数（在大多数情况下）checks $_COOKIE。
cookie 处理代码为SAPI-dependent，但不包含任何“如果未设置secure，则立即丢弃”的特定逻辑。
除非出现一些包含此逻辑的奇怪 SAPI 代码，否则最有可能发生的情况是 cookie 不再发送到缺少 HTTPS 的 HTTP 端点，因此看起来用户正在注销（但前提是他们没有使用HTTPS 无处不在）。
简而言之：
【讨论】：
Set-Cookie 标头中，它被发送到浏览器。标头指示浏览器将来如何使用 cookie（例如，对 JS 不可用，或不安全的 HTTP）......当将 cookie 发送回服务器时，浏览器只发送名称和值。服务器不知道它们被存储为什么，如果服务器重新发送 cookie（带有这些标志），浏览器将简单地替换旧的 cookie...所以设置这些标志不会导致用户被登录out（除非有其他问题，例如使用 HTTP）