ThinkPHP多域名应用如何实现统一退出 ThinkPHP跨域清除缓存与Session

在多域名架构下实现统一登出，是不少开发者都会遇到的“暗坑”。表面上看，用户在admin.example.com点击退出，系统也正常执行了session_destroy()，但回头却发现，用户依然能畅通无阻地访问api.example.com或www.example.com。这背后的症结，往往不在于代码逻辑，而在于Cookie的“管辖范围”没设对。

ThinkPHP 多域名下 logout 为什么只清当前域名的 Session？

根本原因在于，PHP的session_set_cookie_params()默认会将Session Cookie绑定到当前请求的域名上。当你调用session_destroy()或setcookie()删除Cookie时，如果没有显式指定domain参数，操作就只会影响到当前域，其他子域或主域的Session Cookie依然安然无恙。

这就解释了那个典型现象：用户在管理后台登出了，但API接口或主站却还保持着登录状态。

• 要让Cookie在所有子域下生效，必须将其domain设置为根域，并且记住开头要带点号，例如.example.com。
• 在ThinkPHP 5.1及以上版本中，你需要在config/session.php配置文件里明确指定这个域：

  'domain' => '.example.com',

• 如果项目使用了Redis来存储Session，还得确保所有子域都连接并共享同一个Redis实例，同时session_id的生成逻辑也要保持一致（默认情况下是相同的）。
• 这里有个重要限制：受浏览器同源策略约束，Cookie的domain设置无法跨主域生效。也就是说，你无法通过设置.example.com来清除other-site.com下的Cookie。

如何在登出时主动清除多个域名的登录态？

仅仅销毁本地的Session是不够的，关键在于让其他相关域名也“感知”到退出事件。因此，更可靠的方案是引入一个“中心化登出通知”机制，而不是被动依赖浏览器去删除Cookie。

• 在核心的登出接口（比如/logout）中，完成session_destroy()之后，可以主动向其他可信的子域发起异步HTTP请求，触发它们各自的本地登出逻辑：

  file_get_contents('https://api.example.com/api/v1/logout?token=' . $shared_sign);

• 相应地，每个子域都需要提供一个配套的登出接口，用于接收请求并校验其中的$shared_sign签名（建议使用HMAC-SHA256算法并加上时间戳，以防止请求重放攻击）。
• 还有一种更轻量的前端方案：用户登出后，跳转到一个中间页面（例如https://sso.example.com/logout?redirect=...）。由这个中间页通过iframe向所有子域发送postMessage消息，各子域页面监听该消息并执行本地的session_destroy()。
• 尽量避免直接用Ja vaScript遍历document.cookie来删除，因为这种方式无法清除标记为HttpOnly的Cookie（通常Session Cookie就是），而且同样受跨域限制。

ThinkPHP 跨域请求时 Session 不延续？检查 session_name() 和 Cookie 属性

在前后端分离的架构里，前端应用运行在www.example.com，却要向api.example.com发起请求，这时登录态（Session）常常会莫名其妙地丢失。问题的根源，往往是Cookie没有被正确携带到跨域请求中。

• 首先，确认前端发起的请求正确设置了凭据携带。使用Fetch API时需要设置credentials: 'include'；如果用的是Axios，则需要设置withCredentials: true。
• 后端服务器的响应头也必须正确配置。关键的头信息是：

  Access-Control-Allow-Origin: https://www.example.com

  注意，这里不能使用通配符*，否则浏览器出于安全考虑，不会允许携带凭据。
• 在ThinkPHP中，你可能需要在中间件或全局配置里手动设置Cookie的域：

  cookie('PHPSESSID', '', ['domain' => '.example.com']);

• 如果项目使用了自定义的Session名称（例如think_session），务必确保前后端对这个名称的认知完全一致，并且要在调用session_start()之前，先执行session_name('think_session')。

清除缓存时别漏掉 runtime/cache/ 和浏览器强缓存

多域名应用常常会共用一套静态资源或API缓存。但ThinkPHP的文件缓存默认是按应用路径隔离的，这容易让人产生一个错觉：以为清除了A域名的缓存，B域名的缓存也会同步失效。

• 文件缓存的存储路径由config/cache.php中的'path'配置项决定。只有确保所有域名都指向同一个runtime目录，清除缓存的操作才能真正覆盖全局。
• 如果使用的是Redis或Memcached这类集中式缓存，则需要检查所有域名的配置，确保它们连接的是同一个缓存实例和数据库（注意database配置项）。
• 在浏览器端，登出操作完成后，服务端返回的响应头应包含Cache-Control: no-store，告诉浏览器不要存储此响应。对于关键接口，还可以考虑在请求URL后附加时间戳参数（如?t=1717023456），以绕过浏览器的强缓存。
• 别忘了CDN缓存。ThinkPHP本身并不管理CDN，你需要通过调用CDN服务商提供的API，或在CDN控制台配置相应的缓存规则（例如，根据特定的Cookie或请求头来判断用户登录状态），来手动刷新或设置不缓存。

说到底，实现跨域统一登出最棘手的部分，往往不是代码怎么写，而是确保各个环节的配置严丝合缝——Cookie的域、协议（HTTP/HTTPS）、路径（是根路径/还是/admin/）、Secure属性等，必须全部对齐。任何一个细节的疏忽，都可能导致整个机制在沉默中失败。