使用session_set_cookie_params()和session_regenerate_id()使客户端Cookie失效
在PHP中，session_set_cookie_params()和session_regenerate_id()可以结合使用来安全地使客户端Cookie失效。这种方法比直接使用setcookie()更符合PHP会话管理的内部机制。
完整示例代码
<?php
// 1. 首先开启会话（如果尚未开启）
session_start();
// 2. 设置cookie参数为立即过期
session_set_cookie_params(0); // 生命周期设为0表示会话结束时过期
// 3. 重新生成会话ID并删除旧会话
// 参数true表示同时删除旧的会话数据
session_regenerate_id(true);
// 4. 清空当前会话数据
$_SESSION = array();
// 5. 销毁会话（删除服务器端文件）
session_destroy();
// 6. 重定向到其他页面（可选）
header("Location: login.php");
exit;
?>详细解析
1. session_set_cookie_params(0)
作用：设置会话cookie的参数，将生命周期设为0
参数0的含义：表示cookie将在浏览器关闭时过期（会话cookie）
实际效果：虽然不会立即使现有cookie失效，但确保新生成的cookie是临时的
2. session_regenerate_id(true)
作用：生成一个新的会话ID并使旧的会话ID失效
参数true的含义：删除与旧会话ID关联的会话数据
实际效果：
客户端将收到一个新的会话cookie
旧的会话ID立即失效
由于之前设置了cookie参数，新cookie是临时的
3. 为什么这种方法有效？
双重保护：既使旧会话ID失效，又确保新cookie是临时的
安全性：防止会话固定攻击(session fixation)
一致性：使用PHP内置的会话管理函数，确保行为一致
替代方案对比
方法一：直接使用setcookie()
setcookie(session_name(), '', time()-3600, '/');
缺点：
需要知道确切的cookie参数（路径、域名等）
不够优雅，直接操作cookie而非通过会话API
方法二：使用session_set_cookie_params()+session_regenerate_id()
session_set_cookie_params(0); session_regenerate_id(true);
优点：
使用PHP官方推荐的会话管理API
自动处理所有cookie参数
更安全，防止会话固定攻击
代码更简洁，不需要手动计算过期时间
实际应用场景
这种方法特别适合以下场景：
用户注销时安全终止会话
权限变更时需要重新认证
防止会话固定攻击的安全措施
需要临时会话的应用（如一次性操作）
注意事项
执行顺序：必须先设置cookie参数，再重新生成ID
session_start()：必须在其他会话函数之前调用
header重定向：如果使用header()重定向，确保之前没有输出
错误处理：生产环境应该添加错误处理逻辑
通过这种方法，您可以安全、有效地使客户端会话cookie失效，同时保持代码的整洁和安全。