我正在考慮在每個頁面上使用這段代碼來減少 session 劫持的可能性。通過在每個請求上更新 session_id ``` if(!empty($_session)){ session_start(); } ``` 另一種實現方式是這樣做: ``` if(!empty($_session)){ session_regenerate_id(true); } ``` 但是，我聽到對該功能的批評，說如果由于某種原因頁面刷新太快， session ID 將無效。 另一種使用 session ID 的方法是更好地控制 session 的生成方式。 還有其他方法可以實現...最佳做法是什么？ 最佳答案 在每個頁面上調用 session_regenerate_id 是不必要的開銷。 您應該只在登錄時或您重新授權用戶時調用它。 如果您還需要，您可以將上次重新生成的時間存儲在 session 中，然后在 30 分鐘后調用 session_regenerate_id，但絕對沒有必要在每個頁面上都這樣做。