php session的理解【轉】-有解無憂

1、什么是session？
2、Session常見函式及用法？
● 如何洗掉session？
● SESSION安全:
Session跨頁傳遞問題：

1、什么是session？

??Session的中文譯名叫做“會話”，其本來的含義是指有始有終的一系列動作/訊息，比如打電話時從拿起電話撥號到掛斷電話這中間的一系列程序可以稱之為一個session，目前社會上對session的理解非常混亂：有時候我們可以看到這樣的話“在一個瀏覽器會話期間，...”，這里的會話是指從一個瀏覽器視窗打開到關閉這個期間；也可以看到“用戶（客戶端）在一次會話期間”這樣一句話，它可能指用戶的一系列動作（一般情況下是同某個具體目的相關的一系列動作，比如從登錄到選購商品到結賬登出這樣一個網上購物的程序；然而有時候也可能僅僅是指一次連接；其中的差別只能靠背景關系來推斷了，
??然而當session一詞與網路協議相關聯時，它又往往隱含了“面向連接”和/或“保持狀態”這樣兩個含義，“面向連接”指的是在通信雙方在通信之前要先建立一個通信的渠道，比如打電話，直到對方接了電話通信才能開始，“保持狀態”則是指通信的一方能夠把一系列的訊息關聯起來，使得訊息之間可以互相依賴，比如一個服務員能夠認出再次光臨的老顧客并且記得上次這個顧客還欠店里一塊錢，這一類的例子有“一個TCP session”或者“一個POP3 session”，
??鑒于這種混亂已不可改變，要為session下個定義就很難有統一的標準，而在閱讀session相關資料時，我們也只有靠背景關系來推斷理解了，不過我們可以這樣理解：例如我們打電話，從撥通的那一刻起到掛斷電話期間，因為電話一直保持著接通的狀態，所以把這種接通的狀態叫做session， 它是訪客與整個網站互動程序中一直存在的公有變數，在客戶端不支持COOKIE的時候，為了保證資料正確、安全，就采用SESSION變數，訪問網站的來客會被分配一個唯一的識別符號，即所謂的會話 ID，它要么存放在客戶端的 cookie，要么經由 URL 傳遞，
??SESSION的發明填補了HTTP協議的局限：HTTP協議被認為是無狀態協議，無法得知用戶的瀏覽狀態，當它在服務端完成回應之后，服務器就失去了與該瀏覽器的聯系，這與HTTP協議本來的目的是相符的，客戶端只需要簡單的向服務器請求下載某些檔案，無論是客戶端還是服務器都沒有必要紀錄彼此過去的行為，每一次請求之間都是獨立的，好比一個顧客和一個自動售歡訓或者一個普通的（非會員制）大賣場之間的關系一樣，
??因此通過SESSION(cookie是另外一種解決辦法)記錄用戶的有關資訊，以供用戶再次以此身份對web服務器提起請求時作確認，會話的發明使得一個用戶在多個頁面間切換時能夠保存他的資訊，網站編程人員都有這樣的體會，每一頁中的變數是不能在下一頁中使用的(雖然form，url也可以實作，但這都是非常不理想的辦法)，而SESSION中注冊的變數就可以作為全域變數使用了，
??那么SESSION到底有什么用處呢？網上購物時大家都用過購物車，你可以隨時把你選購的商品加入到購物車中，最后再去收銀臺結帳，在整個程序中購物車一直扮演著臨時存貯被選商品的角色，用它追蹤用戶在網站上的活動情況，這就是SESSION的作用，它可以用于用戶身份認證，程式狀態記錄，頁面之間引數傳遞等，
??SESSION 的實作中采用COOKIE技術，SESSION會在客戶端保存一個包含session_id(SESSION編號)的COOKIE；在服務器端保存其他 session變數，比如session_name等等，當用戶請求服務器時也把session_id一起發送到服務器，通過session_id提取所保存在服務器端的變數，就能識別用戶是誰了，同時也不難理解為什么SESSION有時會失效了，
?? 注：當客戶端禁用COOKIE時(點擊IE中的“工具”—“internet="">Internet選項”，在彈出的對話框里點擊“安全”—“自定義級別”項，將“允許每個對話COOKIE”設為禁用)，session_id將無法傳遞，此時SESSION失效，不過php5在linux/unix平臺可以自動檢查cookie狀態，如果客戶端設定了禁用，則系統自動把session_id附加到url上傳遞，windows主機則無此功能，

2、Session常見函式及用法？

Session_start() ：開始一個會話或者回傳已經存在的會話，
說明：這個函式沒有引數，且回傳值均為true，如果你使用基于cookie的session(cookie-based sessions),那么在使用Session_start()之前瀏覽器不能有任何輸出，否則會發生以下錯誤：

Warning: Cannot send session cache limiter - headers already sent (output started at /usr/local/apache/htdocs/cga/member/1.php:2)…………

你可以在php.ini里啟動 session.auto_start=1，這樣就無需每次使用session之前都要呼叫session_start()，但啟用該選項也有一些限制，如果確實啟用了 session.auto_start，則不能將物件放入會話中，因為類定義必須在啟動會話之前加載以在會話中重建物件，
請求結束后所有注冊的變數都會被序列化，已注冊但未定義的變數被標記為未定義，在之后的訪問中這些變數也未被會話模塊定義，除非用戶以后定義它們，
警告: 有些型別的資料不能被序列化因此也就不能保存在會話中，包括 resource 變數或者有回圈參考的物件（即某物件將一個指向自己的參考傳遞給另一個物件），
注冊SESSION變數：
PHP5使用$_SESSION[‘xxx’]=xxx注冊SESSION全域變數，和GET，POST，COOKIE的使用方法相似，
注意：session_register()，session_unregister ，session_is_registered在php5下不再使用，除非在php.ini里把register_globle設為on，不過出于安全考慮，強烈建議關閉register_globle，HTTP_SESSION_VARS也不提倡使用了，官方建議用$_SESSION代替之，例如：
Page1.php

<?php
Session_start();       //使用SESSION前必須呼叫該函式，
$_SESSION["name"]="我是黑旋風李逵!";   //注冊一個SESSION變數
$_SESSION["passwd"]="mynameislikui";
$_SESSION["time"]=time();
echo '<br /><a href="https://www.cnblogs.com/KillBugMe/p/page2.php">通過COOKIE傳遞SESSION</a>';   //如果客戶端支持cookie，可通過該鏈接傳遞session到下一頁，
echo '<br /><a href="https://www.cnblogs.com/KillBugMe/p/page2.php?' . SID . '">通過URL傳遞SESSION</a>';//客戶端不支持cookie時，使用該辦法傳遞session.
?>

Page2.php

<?php
session_start();
echo $_SESSION['name']; //
echo $_SESSION['passwd'];   //
echo date('Y m d H:i:s', $_SESSION['time']);
echo '<br /><a href="https://www.cnblogs.com/KillBugMe/p/page1.php">回傳山一頁</a>';
?>

有兩種方法傳遞一個會話 ID：

cookie
URL 引數

會話模塊支持這兩種方法，cookie 更優化，但由于不總是可用，也提供替代的方法，第二種方法直接將會話 ID 嵌入到 URL 中間去，
PHP 可以透明地轉換連接，除非是使用 PHP 4.2 或更新版本，需要手工在編譯 PHP 時激活，在 Unix 下，用 --enable-trans-sid 配置選項，如果此配置選項和運行時選項 session.use_trans_sid 都被激活(修改php.ini)，相對 URI 將被自動修改為包含會話 ID，
●session_id
session_id() 用于設定或取得當前session_id，php5中既可以使用session_id()，也可以通過附加在url上的SID取得當前會話的session_id和session_name，
如果session_id()有具體指定值的話，將取代當前的session_id值，使用該函式前必須啟動會話：session_start();
當我們使用session cookies時，如果指定了一個session_id()值，每次啟動session_start()都會往客戶端發送一個cookie值，不論當前session_id是否與指定值相等，
session_id()如果沒有指定值，則回傳當前session_id();當前會話沒有啟動的話，則回傳空字串，
●檢查session是否存在？
在以往的php版本中通常使用session_is_register()檢查session是否存在，如果您使用$_SESSION[‘XXX’]=XXX來注冊會話變數，則session_is_register()函式不再起作用，你可以使用
isset($_SESSION[‘xxx’]) 來替代，

●更改session_id
session_regenerate_id() 更改成功則回傳true，失敗則回傳false，
使用該函式可以為當前session更改session_id，但不改變當前session的其他資訊，例如：

<?php
session_start();
$old_sessionid = session_id();
session_regenerate_id();
$new_sessionid = session_id();
echo "原始 SessionID: $old_sessionid<br />";
echo "新的 SessionID: $new_sessionid<br />";
echo"<pre>";
print_r($_SESSION);
echo"</pre>";
?>

● session_name() 回傳當前session的name或改變當前session的name，如果要改變當前session的name，必須在session_start() 之前呼叫該函式，注意：session_name不能只由數字組成，它至少包含一個字母，否則會在每時每刻都生成一個新的session id.
session改名示例：

"; ?>

● 如何洗掉session？

1、unset ($_SESSION['xxx']) 洗掉單個session，unset($_SESSION['xxx']) 用來unregister一個已注冊的session變數，其作用和session_unregister()相同， session_unregister()在PHP5中不再使用，可將之打入冷宮，
unset($_SESSION) 此函式千萬不可使用，它會將全域變數$_SESSION銷毀，而且還沒有可行的辦法將其恢復，用戶也不再可以注冊$_SESSION變數，
**
2、$_SESSION=array()洗掉多個session
3、session_destroy() 結束當前的會話，并清慷訓話中的所有資源，，該函式不會unset(釋放)和當前session相關的全域變數(globalvariables),也不會洗掉客戶端的session cookie.PHP默認的session是基于cookie的，如果要洗掉cookie的話，必須借助setcookie()函式，
?? 回傳值：布林值，
??功能說明：這個函式結束當前的session，此函式沒有引數，且回傳值均為tru

session_unset() 如果使用了$_SESSION，則該函式不再起作用，由于PHP5必定要使用$_SESSION，所以此函式可以打入冷宮了，
下面是PHP官方關于洗掉session的案例：

<?php
// 初始化session.
session_start();
/*** 洗掉所有的session變數..也可用unset($_SESSION[xxx])逐個洗掉，****/
$_SESSION = array();
/***洗掉sessin id.由于session默認是基于cookie的，所以使用setcookie洗掉包含session id的cookie.***/
if (isset($_COOKIE[session_name()])) {
   setcookie(session_name(), '', time()-42000, '/');
}
// 最后徹底銷毀session.
session_destroy();
?>

由此我們可以得出洗掉Session的步驟：
①session_start()
②$_SESSION=array()/unset($_SESSION['xxx'])
③session_destroy()

● SESSION安全:

①會話模塊不能保證存放在會話中的資訊只能被創建該會話的用戶看到，根據其存放的資料，還需要采取更多措施來主動保護會話的完整性，
②評估會話中攜帶的資料并實施附加保護措施通常要付出代價，降低用戶的方便程度，例如，如果要保護用戶免于受簡單的社交策略侵害（注：指在 URL 中顯示的會話 ID 會被別人在電腦螢屏上看到，或被別的網站通過 HTTP Referer 得到等），則應該啟用 session.use_only_cookies，此情形下，客戶端必須無條件啟用 cookie，否則會話就不作業，
③有幾種途徑會將現有的會話 ID 泄露給第三方，泄露出的會話 ID 使第三方能夠訪問所有與指定 ID 相關聯的資源，第一，URL 攜帶會話 ID，如果連接到外部站點，包含有會話 ID 的 URL 可能會被存在外部站點的 Referer 日志中，第二，較主動的攻擊者可能會偵聽網段的資料包，如果未加密，會話 ID 會以明文方式在網路中流過，對此的解決方式是在服務器上實施 SSL 并強制用戶使用，
④默認情況下，所有與特定會話相關的資料都被存盤在由 INI 選項 session.save_path 指定的目錄下的一個檔案中，對每個會話會建立一個檔案（不論是否有資料與該會話相關），這是由于每打開一個會話即建立一個檔案，不論是否有資料寫入到該檔案中，注意由于和檔案系統協同作業的限制，此行為有個副作用，有可能造成用戶定制的會話處理器（例如用資料庫）丟失了未存盤資料的會話，

上面介紹函式下文將會用到，但還有一些有關session的函式也介紹一下：
session_encode
函式功能：sesssion資訊編碼
??函式原型：string session_encode(void);
??回傳值：字串
??功能說明：回傳的字串中包含全域變數中各變數的名稱與值，形式如：a|s:12:"it is a test/";c|s:4:"lala"; a是變數名 s:12代表變數a的值"it is a test的長度是12 變數間用分號”;”分隔，
session_decode
??函式功能：sesssion資訊解碼
??函式原型：boolean session_decode (string data)
??回傳值：布林值
??功能說明：這個函式可將session資訊解碼，成功則回傳邏輯值true
Php5 不再使用session_id，而是把它變成一個常量SID，并保存在cookie中，如果客戶端禁用了cookie，php會自動通過url自動傳動傳遞SID，其條件是設定php.ini中的session.use_trans_sid = 1，此時即使客戶端即使禁用了cookie也沒關系了，
用 strip_tags() 來輸出 SID 以避免 XSS 相關的攻擊，

Session跨頁傳遞問題：

session跨頁傳遞需要考慮三種情況：
①客戶端禁用了cookie，
②瀏覽器出現問題，暫時無法存取cookie
③php.ini中的session.use_trans_sid = 0或者編譯時沒有打開--enable-trans-sid選項
??
為什么會這樣呢？下面解釋一下原因：
Session檔案分為兩部分：session變數保存在服務器端（默認以檔案方式存盤session）；而session id則以cookie形式保存在客戶端，(注意：session默認是基于cookie的)，
??當用戶的瀏覽器向服務器提出請求時，同時發送包含session id的cookie(默認情況下)，服務器根據客戶端提供的session id來得到用戶的檔案，即保存在服務器端的session變數值，事實上，session id可以使用客戶端的Cookie或者Http1.1協議的Query_String（就是訪問的URL的“?”后面的部分）來傳送給服務器，然后服務器讀取Session的目錄……，也就是說，session id是取得存盤在服務上的session變數的身份證，當代碼session_start();運行的時候，就在服務器上產生了一個session檔案，隨之也產生了與之唯一對應的一個session id，定義session變數以一定形式存盤在剛才產生的session檔案中，通過session id，可以取出定義的變數，跨頁后，為了使用session，你必須又執行session_start();將又會產生一個session檔案，與之對應產生相應的session id(注:又會產生是有條件的,如果用戶沒有禁止Cookie的話,session id是可以隱藏的傳過去的,也就是說不會產生新的session id,但如果禁止了Cookie的話,就需要手動傳遞session id來解決此問題了,見例2))，用這個session id是取不出前面提到的第一個session檔案中的變數的，因為這個session id不是打開它的“鑰匙”，如果在session_start();之前加代碼session_id($session id);將不產生新的session檔案，直接讀取與這個id對應的session檔案，

??PHP中的session在默認情況下是使用客戶端的Cookie來保存session id的,所
以當客戶端的cookie出現問題的時候就會影響session了，必須注意的是：session不一定必須依賴cookie，這也是 session相比cookie的高明之處，當客戶端的Cookie被禁用或出現問題時，PHP會自動把session id附著在URL中,這樣再通過session id就能跨頁使用session變數了，但這種附著也是有一定條件的，其一：“php.ini中的session.use_trans_sid = 1或者編譯時打開打開了--enable-trans-sid選項”；其二：運行PHP的服務器必須是unix/linux系統，windows不具備此項功能，
??
明白了以上的道理，我們就可以得出解決session跨頁傳遞問題的三條途徑：
1、設定php.ini中的session.use_trans_sid = 1或者編譯時打開打開了--enable-trans-sid選項，讓PHP自動跨頁傳遞session id，
2、手動通過URL傳值、隱藏表單傳遞session id，
3、用檔案、資料庫等形式保存session_id,在跨頁程序中手動呼叫，
下面舉例說明：
第一種情況：
page1.php

<?php
session_start();
$_SESSION['var1']="中華人民共和國";
$url="<a href="https://www.cnblogs.com/KillBugMe/p/."/"s2.php/">下一頁</a>";
echo $url;
?>

page2.php

<?php
session_start();
echo "傳遞的session變數var1的值為：".$_SESSION['var1'];
?>

運行以上代碼，在客戶端cookie正常的情況下，應該可以在得到結果“中華人民共和國”，
現在你手動關閉客戶端的cookie，再運行，可能得不到結果了吧，如果得不到結果，再“設定php.ini中的session.use_trans_sid = 1或者編譯時打開打開了--enable-trans-sid選項”，又得到結果“中華人民共和國”

??
第二種途徑：
s1.php

<?php
session_start();
$_SESSION['var1']="中華人民共和國";
$sn = session_id();
$url="<a href="https://www.cnblogs.com/KillBugMe/p/."/"s2.php?s=".$sn."/">下一頁</a>";    //PHP5定義了一個常量SID來表示session_id()，$url還可以寫成$url='<a href="https://www.cnblogs.com/KillBugMe/p/page2.php?' . SID . '">下一頁</a>';
echo $url;
?>

s2.php

<?php
session_id($_GET['s']);
session_start();
echo "傳遞的session變數var1的值為：".$_SESSION['var1'];
?>

第三種途徑：
login.html

<!DOCTYPE html="">HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<html>
<head>
    <title>Login</title>
    <meta http-equiv="Content-Type" content="text/html; charset=??????">
</head>
<body>
請登錄：
<form method="post" action="mylogin1.php">
    用戶名:<input type="text" ><br>
    口　令:<input type="password" ><br>
    <input type="submit" value="https://www.cnblogs.com/KillBugMe/p/登錄">
</form>
</body>
</html>

mylogin1.php

<?php
$name=$_POST['name'];
$pass=$_POST['pass'];
if(!$name || !$pass) {
    echo "用戶名或密碼為空，請<a href=https://www.cnblogs.com/"login.html/">重新登錄</a>";
    die();
}
if (!($name=="laogong" && $pass=="123")) {
    echo "用戶名或密碼不正確，請<a href=https://www.cnblogs.com/"login.html/">重新登錄</a>";
    die();
}
//注冊用戶
ob_start();
session_start();
$_SESSION['user']= $name;
$psid=session_id();
$fp=fopen("e://tmp//phpsid.txt","w+");
fwrite($fp,$psid);
fclose($fp);
//身份驗證成功，進行相關操作
echo "已登錄<br>";
echo "<a href=https://www.cnblogs.com/"mylogin2.php/">下一頁</a>";
?>

mylogin2.php

<?php
$fp=fopen("e://tmp//phpsid.txt","r");
$sid=fread($fp,1024);
fclose($fp);
session_id($sid);
session_start();
if(isset($_SESSION['user']) && $_SESSION['user']="laogong" ) {
     echo "已登錄!";
}
else {
    //成功登錄進行相關操作
    echo "未登錄，無權訪問";
    echo "請<a href=https://www.cnblogs.com/"login.html/">登錄</a>后瀏覽";
    die();
}
?>

原文鏈接：https://blog.csdn.net/zhengxijia2012/article/details/73437376#commentBox

轉載請註明出處，本文鏈接：https://www.uj5u.com/houduan/117791.html

標籤：PHP

上一篇：系統的講解 - PHP 浮點數高精度運算

下一篇：使用過Redis，我竟然還不知道Rdb