PHP Session销毁方法及登出处理

正确销毁PHP Session需先session_start()启动会话，清空$_SESSION并调用session_destroy()删除服务器数据，再通过setcookie()清除客户端Cookie，设置过期时间为过去值，并指定路径为根目录，同时可调用session_regenerate_id(true)防止会话固定攻击，最后使用header("Location: login.php")重定向至登录页，避免后退访问，确保登出彻底安全。

如果您希望用户在登出时彻底清除其会话数据，确保登录状态无法被恢复，则需要正确销毁 PHP Session。以下是实现 Session 销毁及用户登出处理的具体步骤：

一、销毁当前会话数据

调用 session_destroy() 函数可以删除服务器上保存的会话数据，但必须先启动会话并清空会话变量。

1、使用 session_start() 启动或恢复当前会话。

2、通过 $_SESSION = [] 清空所有会话变量，防止残留数据被复用。

3、调用 session_destroy() 删除存储在服务器端的会话文件。

二、清除客户端会话 Cookie

即使服务器端会话已被销毁，若客户端仍保留会话 ID 的 Cookie，则存在安全风险。需手动清除浏览器中的 PHPSESSID Cookie。

1、设置与原 Cookie 相同的参数，调用 setcookie() 将会话 Cookie 过期时间设为过去的时间点。

2、指定 Cookie 路径为根目录（/），确保匹配原始设置：setcookie(session_name(), '', time()-3600, '/')。

3、同时将 $_COOKIE[session_name()] 设置为空值，避免同一请求中再次使用旧 ID。

三、重新生成会话 ID 防止固定攻击

在用户登录前后更换会话 ID 可防止会话固定漏洞，在登出时也可执行此操作以增强安全性。

1、调用 session_regenerate_id(true) 生成新的会话 ID，并删除旧的会话存储文件。

2、该操作应在 session_start() 之后立即执行，确保新 ID 生效且旧数据被清除。

3、配合 session_destroy() 使用，可确保用户完全脱离原有会话上下文。

四、登出后重定向避免后退访问

完成会话清理后，应将用户重定向至登录页或首页，防止通过浏览器后退按钮继续访问受保护页面。

1、使用 header("Location: login.php") 实现跳转，确保响应头未发送前调用。

2、在目标页面添加认证检查逻辑，验证用户是否已登录，未登录则禁止访问敏感内容。

3、结合上述销毁流程，形成完整的登出机制，保障系统安全。