PHP 怎么注销所有会话

本文目录导读：

1. 标准注销流程（推荐）
2. 不同场景的注销方法
3. 完整的安全注销函数（推荐封装）
4. 注意事项
5. 数据库会话的场景（可选）
6. 完整注销示例（带安全防护）

在 PHP 中注销所有会话（销毁会话数据）通常涉及以下几个步骤，最安全、最彻底的方法是：

标准注销流程（推荐）

<?php
// 开始会话（必须在输出任何内容之前调用）
session_start();
// 1. 清除 $_SESSION 超级全局变量
$_SESSION = [];
// 2. 如果使用 cookie 方式传递会话 ID，删除客户端的会话 cookie
if (ini_get("session.use_cookies")) {
    $params = session_get_cookie_params();
    setcookie(
        session_name(),
        '',
        time() - 42000,  // 过期时间设为过去
        $params["path"],
        $params["domain"],
        $params["secure"],
        $params["httponly"]
    );
}
// 3. 销毁服务器端的会话文件
session_destroy();
// 4. （可选）彻底清除会话 ID，避免残留
session_regenerate_id(true);
// 完成注销，重定向到登录页
header("Location: login.php");
exit;
?>

不同场景的注销方法

场景 A：仅清除当前用户的会话数据

session_start();
// 清空所有会话变量
$_SESSION = [];

场景 B：完全注销并删除会话文件

session_start();
session_unset();      // 释放所有会话变量
session_destroy();    // 销毁会话文件

场景 C：销毁会话并重新开始（类似"重新登录"）

session_start();
session_regenerate_id(true);  // 重新生成会话 ID
$_SESSION = [];               // 清空数据
// 可以重新设置新的会话数据

完整的安全注销函数（推荐封装）

function logout_all_sessions() {
    // 保存当前会话名称
    $session_name = session_name();
    // 确保会话已启动
    if (session_status() === PHP_SESSION_NONE) {
        session_start();
    }
    // 清空会话数组
    $_SESSION = [];
    // 删除会话 cookie
    if (ini_get("session.use_cookies")) {
        $params = session_get_cookie_params();
        setcookie(
            $session_name,
            '',
            time() - 42000,
            $params["path"],
            $params["domain"],
            $params["secure"],
            $params["httponly"]
        );
    }
    // 销毁会话
    session_destroy();
    // 如有需要，清除数据库中的会话记录
    // clearSessionFrmDatabase($session_id);
    // 清理缓存（可选）
    session_cache_expire(0);
}

注意事项

• 必须调用 session_start() 后才能操作会话
• 必须在输出任何 HTML/空白字符之前调用 session_start()
• session_destroy() 不会立即清空 $_SESSION，需要手动设置 $_SESSION = []
• 重定向后记得加 exit 防止代码继续执行

数据库会话的场景（可选）

如果使用数据库存储会话：

// 清除数据库中该用户的会话记录
$sessionId = session_id();
$stmt = $db->prepare("DELETE FROM sessions WHERE session_id = ?");
$stmt->execute([$sessionId]);

完整注销示例（带安全防护）

session_start();
// 记录日志（可选）
// logUserLogout($_SESSION['user_id']);
// 彻底销毁
$_SESSION = [];
session_unset();
session_destroy();
// 防止会话固定攻击
if (ini_get("session.use_only_cookies")) {
    $params = session_get_cookie_params();
    setcookie(
        session_name(),
        '',
        time() - 42000,
        $params["path"],
        $params["domain"],
        $params["secure"],
        $params["httponly"]
    );
}
// 重定向
header("Location: /login");
exit;

选择哪种方式取决于你的具体需求，但推荐使用第一种完整流程,它能正确处理所有情况。