Yii 1.x 框架会话管理操作详解
在 Yii 1.x 框架里处理会话（Session），有个关键点得先拎清楚：你不需要手动调用 session_start()。听起来省事了，对吧？但这里有个常见的“坑”——如果你图省事，直接去读写 PHP 原生的 $_SESSION 全局变量，那可就危险了。这么做不仅绕过了框架精心设计的生命周期管理，还可能被框架内部的自动清理机制忽略，更糟糕的是，在某些特定配置下（比如后面会讲到的 autoStart => false），直接操作 $_SESSION 很可能导致你面对一个空的会话对象，数据存了个寂寞。
Yii::app()->session 基本读写必须先确保 autoStart
框架默认是贴心的，'autoStart' => true 这个配置项已经帮你把会话自动初始化好了。所以，在大多数情况下，你完全可以像操作一个普通数组那样，用下面这种直观的方式来处理：
- 存数据：
Yii::app()->session['user_id'] = 123; - 取数据：
$uid = Yii::app()->session['user_id']; - 删数据：
unset(Yii::app()->session['user_id']);
然而，凡事都有例外。如果你在项目配置文件 main.php 的 components['session'] 部分，显式地将 'autoStart' 设为了 false，那么上面那套行云流水的操作就会“静默失败”——代码不会报错，但值既存不进去，也读不出来。这时候，你必须手动“唤醒”会话：Yii::app()->session->open(); 之后才能正常读写。这种配置常见于需要自定义会话存储（比如存到数据库或Redis）并且希望延迟初始化的场景，为的是更精细地控制性能开销。
clear() 和 destroy() 的区别不能混用
用户退出登录时，彻底清理会话是基本的安全要求。但这里有个细节很容易被忽略：仅仅调用 clear() 是远远不够的。这两个方法到底有什么区别？
Yii::app()->session->clear()：这个方法的作用范围仅限于当前请求。它清空的是已经加载到内存中的会话变量副本，而服务器端的持久化存储（无论是文件还是数据库记录）里的原始数据，依然完好无损地躺在那里。Yii::app()->session->destroy()：这才是“杀手锏”。它会真正删除服务器上的会话文件或数据库记录，并且让当前的这个sessionID立即失效。
所以，一个安全的登出流程，正确的顺序应该是：Yii::app()->session->clear(); Yii::app()->session->destroy();。如果漏掉了 destroy()，会话的回收就只能依赖服务器端的垃圾回收机制，这会产生时间延迟。攻击者如果通过某些手段（比如从日志或未清除的Cookie中）拿到了旧的 sessionID，仍然有可能发起会话重放攻击，这无疑是一个安全隐患。
数据库存 session 必须配对设置 class 和 connectionID
想把会话数据存到数据库里，提升分布式环境下的兼容性？这个想法很好，但实现起来可不是改个存储路径那么简单。核心在于，配置项里有两项是“黄金搭档”，缺一不可：
'class' => 'system.web.CDbHttpSession'：这是必须明确指定的类。如果不告诉框架用这个类，它还是会傻乎乎地走默认的文件存储路径。'connectionID' => 'db'：这项配置必须指向一个在components里已经正确定义好的数据库组件ID。比如，你通常会有类似'db'=>array('class'=>'CDbConnection',...)这样的定义。- 还有一项虽然不是强制，但强烈建议加上：
'sessionTableName' => 'tbl_session'。当然，前提是你得确保数据库中这张表的结构符合 Yii 的要求，通常需要包含id、expire、data这几个关键字段。
这里有个典型的错误场景：如果只修改了 class 却忘了配 connectionID，应用启动时就会直接抛出一个 CDbHttpSession.connectionID is invalid 的错误。而如果目标表的结构不对，数据写入时可能会静默失败，等到读取的时候，自然什么也拿不到，问题排查起来相当棘手。
调试 sessionID 和遍历变量要避开 foreach($_SESSION)
在调试或需要获取当前会话标识时，记住这个可靠的方法：Yii::app()->session->sessionID。不要去依赖 PHP 原生的 session_id() 函数，因为在 Yii 的管理下，会话可能尚未被打开（open）或者已经被关闭（close），这时 session_id() 很可能返回一个空字符串，让你误判。
同样，当需要遍历所有会话变量进行检查时，也应该使用框架提供的方式：
foreach (Yii::app()->session as $key => $value) {
var_dump($key, $value);
}
而不是去循环 $_SESSION 全局数组。原因在于，当 autoStart => false 或者会话尚未通过 open() 初始化时，$_SESSION 可能就是一个空数组。更重要的是，直接操作 $_SESSION 无法体现 Yii 框架内部对闪存数据（flash data）、超时等特殊字段的管理逻辑，你看到的数据可能是不完整或不准确的。
说到底，Yii 1.x 中的会话行为，高度依赖于 autoStart 这个开关以及组件的初始化时机。很多开发者遇到的问题，并不是代码语法写错了，而是没有意识到：Yii 的会话对象是一个经过封装、支持懒加载的完整对象，而并非那个简单的全局数组的别名。理解这一点，是避免踩坑的关键。
