答案：PHP通过Session和Cookie在无状态HTTP协议中保持用户状态。Session存储于服务器，通过唯一会话ID（如PHPSESSID）与客户端关联，数据安全但占用服务器资源；Cookie由服务器发送并存储于浏览器，可持久化但容量小且易被篡改。使用session_start()启动会话，通过$_SESSION读写数据，setcookie()设置Cookie，$_COOKIE读取。默认关闭浏览器后Session ID失效，但服务器端数据需等待过期清理。实际开发中常结合两者：用Cookie传递Session ID，敏感信息存于Session中。为安全起见，应启用HttpOnly和Secure标志，定期调用session_regenerate_id()防止会话固定攻击，合理设置过期时间，避免在Cookie中存储敏感信息。
PHP会话管理主要通过 Session 和 Cookie 实现，它们用于在用户访问网站期间保持状态。由于HTTP本身是无状态的协议，每次请求都是独立的，因此需要借助这些机制来识别用户、保存登录信息或记录行为。
Session 的工作原理与应用
Session 是服务器端存储用户数据的一种方式。当用户首次访问时，PHP 会为该用户创建一个唯一的会话 ID（通常名为 PHPSESSID），并将其通过 Cookie 发送到浏览器。这个 ID 用来关联服务器上存储的用户数据。
服务器将 Session 数据保存在文件、数据库或内存缓存（如 Redis）中，默认路径通常是系统的临时目录。
如何使用 Session：- 开始会话：使用 session_start() 函数启动或恢复会话
- 存储数据：通过 $_SESSION['key'] = value; 保存信息
- 读取数据：直接访问 $_SESSION['key']
- 销毁数据：使用 unset($_SESSION['key']) 或 session_destroy() 清除所有会话数据
示例代码：
立即学习“PHP免费学习笔记（深入）”；
session_start(); $_SESSION['username'] = 'john'; echo '欢迎，' . $_SESSION['username'];
关闭浏览器后，默认情况下 Session Cookie 会被清除，下次访问将生成新的会话 ID，但旧的服务器端数据可能仍存在，直到过期被清理。
Cookie 的工作原理与应用
Cookie 是由服务器发送到用户浏览器的小段数据，浏览器会将其保存并在后续请求中自动带回服务器。它属于客户端存储，可用于记住用户偏好、跟踪访问行为或实现“记住我”功能。
设置 Cookie：- 使用 setcookie(name, value, expire, path, domain, secure, httponly)
- 常用参数：expire 设置过期时间（时间戳），httponly 防止 JavaScript 访问，提升安全性
示例代码：
立即学习“PHP免费学习笔记（深入）”；
setcookie('user', 'john', time() + 3600, '/', '', false, true);
这表示设置一个名为 user 的 Cookie，值为 john，有效期一小时，作用于整个站点，并禁止脚本访问。
读取 Cookie 直接使用 $_COOKIE['user']。
Session 与 Cookie 的区别与配合
两者本质不同：Session 存在服务器，更安全但占用服务资源；Cookie 存在浏览器，容量小（约4KB）、可持久化但易被篡改。
实际开发中，常结合使用：Session 依赖 Cookie 来传递会话 ID，而敏感数据（如登录状态）保存在服务器端 Session 中，避免暴露给客户端。
例如用户登录成功后：
- 生成唯一会话 ID 并写入 Cookie
- 在服务器保存用户ID和权限信息
- 每次请求检查 Session 是否有效
若禁用 Cookie，则可通过 URL 传参方式传递 PHPSESSID，但不推荐，因有安全风险。
安全建议与最佳实践
会话管理涉及用户身份识别，必须注意安全。
- 始终调用 session_start() 在操作 Session 前
- 设置 Cookie 的 HttpOnly 和 Secure 标志（HTTPS 下启用）
- 定期更换会话 ID，防止会话固定攻击，可用 session_regenerate_id()
- 控制 Session 过期时间，修改 php.ini 中的 session.gc_maxlifetime
- 避免在 Cookie 中存储明文密码或敏感信息
基本上就这些。理解 Session 和 Cookie 的工作机制，能帮助你更好地设计用户登录、购物车、权限控制等功能，同时保障应用的安全性。
