1. 程式人生 > >cookie和session的區別及用法(PHP5)

cookie和session的區別及用法(PHP5)

1、HTTP協議本身是無狀態的。
   我們上網都要靠HTTP協議傳遞資訊。比如我們在瀏覽器裡鍵入:www.bokee.com這個網址並回車,你會發現網址會變成:http://www.bokee.com,其原因就是瀏覽的網頁是基於http協議的。http協議無法記錄使用者經常上哪些網站,有什麼愛好,也無法記錄使用者的ID帳號和密碼。這就是所謂的HTTP協議無狀態。HTTP協議本身是無狀態的,這與HTTP協議本來的目的是相符的,客戶端只需要簡單的向伺服器請求下載某些檔案,無論是客戶端還是伺服器都沒有必要紀錄彼此過去的行為,每一次請求之間都是獨立的,好比一個顧客和一個自動售貨機或者一個普通的(非會員制)大賣場之間的關係一樣,你認得它們,它們則肯定認不得你。

2、怎樣理解cookie和session?
   由於cookie和session關係密切,這裡我們一併介紹。
   打個比方:在河南時,我常到一家熟食店買饞嘴鴨,該店老闆為了促進銷售,特釋出“每購滿10只即可免費贈送一隻”的優惠措施。除了家裡有什麼紅白喜事要饗客之外,應該不會有人一次性購買10只烤鴨吧?所以老闆得想個法子來記錄顧客的消費數量,這裡總共有三種方案:
   Ⅰ、老闆記住每一個顧客的消費數量,等到顧客消費滿10只的時候自動奉送一隻。這好比HTTP協議本身是有狀態的,可以記住顧客的活動行為。但遺憾的是,出於種種考慮http協議本身是不能有狀態的,老闆自個也沒有這麼超常的記憶力,故這種方案行不通!
   Ⅱ、老闆發給顧客一張積分卡,上面記錄著消費的數量,一般還有個有效期限。每次買烤鴨時,如果顧客出示這張卡片,老闆就知道這位顧客曾經光顧過小店。這種做法就是在客戶端保持狀態,好比是cookie技術。開啟(windows系統)C:\Documents and Settings\使用者名稱\Cookies,你會發現一些*.txt格式的小檔案,這就是你瀏覽某些網站,它們發給你的“積分卡”(cookies)。
   Ⅲ、老闆發給顧客一張會員卡,除了卡號之外什麼資訊也不紀錄,每次買烤鴨時,如果顧客出示該卡片,則老闆搬出店裡的劃名冊,找到你的卡號並加1個積分。這種做法就是在伺服器端保持狀態。
好比是session技術。
    cookie 和session最大的區別在於: cookie是把積分卡發給顧客,上面記錄了顧客所有的消費資訊。Session則是把只有卡號(session id)的積分卡發給顧客,自家記錄了顧客所有的消費資訊。Cookie是儲存在客戶端的;session是儲存在伺服器端,而session id則是儲存在客戶端,通常也是一個cookie小檔案,由於這個小檔案除了session id(好比卡號)外什麼也沒有,因此比cookie安全多了。

3、cookie和session有什麼用?
   常見的用法,比如在有些網站下載東西需要會員先登陸。http協議本身是無狀態的,無法得知顧客是否已經登陸,怎麼辦呢?cookie和session就可以知道。再比如網上購物,購物車怎麼知道顧客挑選過哪些商品呢?cookie和session也可以記錄。總而言之,cookie和session就是能夠記錄顧客狀態的技術,儘管二者屬於不同的技術,但只要cookie能做到的,session也能做到!

COOKIE篇

1、什麼是cookie?
0Cookie技術是一個非常有爭議的技術,自經誕生它就成了廣大網路使用者和Web開發人員的一個爭論焦點。有一些網路使用者,甚至包括一些資深的Web專家也對它的產生和推廣感到不滿,這倒不是因為Cookie技術的功能太弱或別的技術性能上的原因,而僅僅是因為他們覺得Cookie的使用,對網路使用者的隱私構成了危害。因為Cookie是由Web伺服器儲存在使用者瀏覽器上的小文字檔案,它包含有關使用者的資訊(如身份識別號碼、密碼、使用者在Web站點上購物的方式或使用者訪問該站點的次數)。
    那麼Cookie技術究竟怎樣呢?是否真的給網路使用者帶來了個人隱私的危害呢?還是讓我們看了下面的內容,再做回答吧。
      在WEB技術發展史上,Cookie技術的出現是一個重大的變革。最先是Netscape在它的Netscape Navigator 瀏覽器中引入了Cookie技術,從那時起,World Wide Web 協會就開始支援Cookie標準。以後又經過

微軟的大力推廣(因為微軟的IIS Web伺服器所採用的ASP技術很大程度的使用了Cookie技術),即在微軟的Internet Explorer瀏覽器中完全支援Cookie技術。到現在,絕大多數的瀏覽器都支援Cookie技術,或者至少相容Cookie技術的使用。
      按照Netscape官方文件中的定義,Cookie是在HTTP協議下,伺服器或指令碼可以維護客戶工作站上資訊的一種方式。Cookie是由Web伺服器儲存在使用者瀏覽器上的小檔案,它可以包含有關使用者的資訊(如身份識別號碼、密碼、使用者在Web站點購物的方式或使用者訪問該站點的次數)。無論何時使用者連結到伺服器,Web站點都可以訪問Cookie資訊。
    如果你使用的是windows系統,那麼請開啟C:\Documents and Settings\使用者名稱\Cookies,你會發現該目錄下有好多*.txt格式的小檔案。那就是cookie檔案。當然,在該目錄下你也可能什麼都發現不了,那時因為你新裝了系統或者從未瀏覽過因特網,也或者你的瀏覽器禁用了cookie。否則該目錄下總會有點東西的。
     通俗地講,瀏覽器用一個或多個限定的檔案來支援Cookie。這些檔案在使用Windows作業系統的機器上叫做Cookie檔案,在Macintosh 機器上叫做magic Cookie 檔案,這些檔案被網站用來在上面儲存Cookie資料。網站可以在這些Cookie檔案中插入資訊,這樣對有些網路使用者就有些副作用。有些使用者認為這造成了對個人隱私的侵犯,更糟的是,有些人認為Cookie是對個人空間的侵佔,而且會對使用者的計算機帶來安全性的危害。
     目前有些Cookie是臨時的,另一些則是持續的。臨時的Cookie只在瀏覽器上儲存一段規定的時間,一旦超過規定的時間該Cookie就會被系統清除。例如在PHP中Cookie被用來跟蹤使用者程序直到使用者離開網站。持續的Cookie則儲存在使用者的Cookie檔案中,下一次使用者返回時,仍然可以對它進行呼叫。
     在Cookie檔案中儲存Cookie,一些使用者會過分地認為這將帶來很大的問題。主要是有些使用者擔心Cookie會跟蹤使用者網上衝浪的習慣,譬如使用者喜愛到那些型別的站點、愛從事些什麼活動等。害怕這種個人資訊一旦落入一些別有用心的傢伙手中,那麼個人也就可能成為一大堆廣告垃圾的物件,甚至遭到意外的損害。不過,這種擔心壓根兒不會發生,因為網站以外的使用者是無法跨過網站來獲得Cookie資訊的。所以想以這種目的來應用Cookie是不可能的。不過,由於一些使用者錯誤的理解以及“以訛傳訛”,一些瀏覽器開發商別無選擇,只好作出相適的響應(例如Netscape Navigator4.0和Internet Explorer3.0都提供了遮蔽Cookie的選項)。個人認為,無風不起浪,如果網站程式設計師沒有嚴謹思路的話,cookie確實也存在些許安全問題,不過這些瑕疵並不足以掩蓋cookie的優秀品質,大多數人還是非常樂意使用它的。
     對Cookie技術期待了這麼久的結果是,迫使許多瀏覽器開發商在它們的瀏覽器中提供了對Cookie的靈活性控制功能。例如,目前的兩大主流瀏覽器 Netscape Navigator 和 Internet Explorer是這樣處理Cookie的:Netscape Navigator4.0不但可以接受Cookie進行警告,而且還可以遮蔽掉Cookie;InternetExplorer3.0也可以遮蔽 Cookie,但在Internet Explorer4.0中就只能進行接受警告而沒有提供遮蔽選項,不過在Internet Explorer4.0之後的更新版本中又加入了遮蔽Cookie的功能選項。
     此外,很多最新的技術甚至已經可以在不能遮蔽Cookie的瀏覽器上進行Cookie的遮蔽了。例如,可以通過將Cookie檔案設定成不同的型別來限制 Cookie的使用。但是,非常不幸地是,要是你想完全遮蔽Cookie的話,肯定會因此拒絕許多的站點頁面。因為當今已經有許多Web站點開發人員愛上了Cookie技術的強大功能,例如Session物件的使用就離不開Cookie的支援。


2、Cookie工作原理?
    當客戶訪問某個基於PHP技術的網站時,在PHP中可以使用setcookie函式生成一個cookie,系統經處理把這個cookie傳送到客戶端並儲存在C:\Documents and Settings\使用者名稱\Cookies目錄下。cookie是 HTTP標頭的一部分, 因此setcookie函式必須在任何內容送到瀏覽器之前呼叫。這種限制與header()函式一樣(如需瞭解head()函式,請自行查閱)。當客戶再次訪問該網站時,瀏覽器會自動把C:\Documents and Settings\使用者名稱\Cookies目錄下與該站點對應的cookie傳送到伺服器,伺服器則把從客戶端傳來的cookie將自動地轉化成一個 PHP變數。在PHP5中,客戶端發來的cookie將被轉換成全域性變數。你可以通過$_COOKIE[‘xxx’]讀取。

     儘管今天仍有一些網路使用者對於Cookie的爭論樂此不倦,但是對於絕大多數的網路使用者來說還是傾向於接受Cookie的。因此,我們儘可以放心地使用Cookie技術來開發我們的WEB頁面。

3、Cookie常見函式
● SetCookie  函式建立了一個Cookie,並且把它附加在HTTP頭的後面。必須注意的一點是:Cookie是HTTP協議頭的一部分,用於瀏覽器和伺服器之間傳遞資訊,所以必須在任何屬於HTML檔案本身的內容輸出之前呼叫SetCookie函式,呼叫該函式前即使有空格、空白行都不行。如果setCookie()認了第二,就沒有哪個元素敢認第一。使用setcookie()函式的前提是客戶瀏覽器支援cookie,如果客戶將之禁用的話,setcookie()也就英雄無用武之地了。
   int SetCookie(string name, string value, int expire, string path, string domain, int secure,bool httponly);  
引數說明:
   name;設定cookie變數的名稱。
   value;設定cookie的值。
   expire;設定cookie過期時間。如果要把cookie儲存為瀏覽器程序,即瀏覽器關閉後就失效。那麼可以直接把expiretime設為0。 Eg:setcookie(“name”,”value”,0)。該引數不設定的話,關閉瀏覽器也能結束一個cookie。
    path:表示web伺服器上的目錄,預設為被呼叫頁面所在目錄. 這裡還有一點要說明的,比如你的站點有幾個不同的目錄(比如一個購物目錄,一個論壇目錄),那麼如果只用不帶路徑的Cookie的話,在一個目錄下的頁面裡設的Cookie在另一個目錄的頁面裡是看不到的,也就是說,Cookie是面向路徑的。實際上,即使沒有指定路徑,WEB伺服器會自動傳遞當前的路徑給瀏覽器的,指定路徑會強制伺服器使用設定的路徑。解決這個問題的辦法是在呼叫 SetCookie時加上路徑和域名,域名的格式可以是“http://www.phpuser.com/”,也可是“.phpuser.com”。 SetCookie函式裡表示value的部分,在傳遞時會自動被encode,也就是說,如果value的值是“test value”在傳遞時就變成了“test%20value”,跟URL的方法一樣。當然,對於程式來說這是透明的,因為在PHP接收Cookie的值時會自動將其decode。

    domain:cookie可以使用的域名,預設為被呼叫頁面的域名。這個域名必須包含兩個".",所以如果你指定你的頂級域名,你必須用".mydomain.com" 。設定域名後,必須採用該域名訪問網站cookie才有效。如果你使用多個域名訪問該頁,那麼這個地方可以為空或者訪問這個cookie的域名都是一個域下面的。
    secure:如果設為"1",表示cookie只能被使用者的瀏覽器認為是安全的伺服器所記住。
    除了name之外所有的引數都是可選的。value,path,domain三個引數可以用空字串""代換,表示沒有設定;expire 和 secure兩個引數是數值型的,可以用0表示。expire引數是一個標準的Unix時間標記,可以用time()或mktime()函式取得,以秒為單位。secure引數表示這個Cookie是否通過加密的HTTPS協議在網路上傳輸。
    httponly:如果設為1,則表示cookie只能被http協議所使用,任何指令碼語言,比如javascrīpt是不能獲取PHP所建立的 cookie的,這就有效削弱了來自XSS的攻擊。(注意了:這是PHP5才有的選項,咱也沒有用過。看了官方手冊嘗試著翻譯的,如有疑問,請參考官方手冊。)
    當前設定的Cookie不是立即生效的,而是要等到下一個頁面或重新整理後才能看到.這是由於在設定的這個頁面裡Cookie由伺服器傳遞給客戶瀏覽器,在下一個頁面或重新整理後瀏覽器才能把Cookie從客戶的機器裡取出傳回伺服器的原因。

小道訊息

16歲德國學生通過cookie破解Hotmail
    德國16歲學生Adriaan Graas對於網路安全以及Web開發很有興趣,他還發現了Hotmail破解之道。在一週多之後的今天,微軟還未修復該漏洞。
    這名小黑客的想法很簡單,當用戶登陸Hotmail時,系統將會生成一個cookie方便下次登陸。由於該cookie並未繫結IP,因此黑客可以假冒這些cookie並用於登陸,甚至不需要知道受害人的密碼甚至email地址。通過XSS黑客可以插入一段javascrīpt程式碼,利用log scrīpt將cookie傳送到某個web伺服器,指令碼可以通過PHP,ASP,CGI等語言編寫。

Cookie應用案例:
●建立一個cookie:
SetCookie()
●建立cookie陣列:
其一:
SetCookie("CookieArray[]", "Value 1");
SetCookie("CookieArray[]", "Value 2");
其二:
SetCookie("CookieArray[0]", "Value 1");
SetCookie("CookieArray[1]", "Value 2");
● 接收和處理Cookie

PHP對Cookie的接收和處理的支援非常好,是完全自動的,跟GET,POST變數的原則一樣,特別簡單。
比如設定一個名為MyCookier的Cookie,PHP會自動從WEB伺服器接收的HTTP頭裡把它分析出來,並形成一個可直接使用的全域性變數,名為$_COOKIE[‘MyCookie’],這個變數的值就是Cookie的值。陣列同樣適用。
分別舉例如下:(假設這些都在以前的頁面裡設定過了,並且仍然有效)
echo $_COOKIE[‘MyCookie’];
取出cookie陣列的例子:
<?php
// 建立一個cookie陣列
setcookie("cookie[three]", "cookiethree");
setcookie("cookie[two]", "cookietwo");
setcookie("cookie[one]", "cookieone");
// 頁面重新整理之後,用foreach提取cookie陣列。
if (isset($_COOKIE['cookie'])) {
   foreach ($_COOKIE['cookie'] as $name => $value) {
       echo "$name : $value <br />\n";
   }
}
?>
就這麼簡單。
刪除Cookie
    要刪除一個已經存在的Cookie,有兩個辦法:
1、呼叫只帶有name引數的SetCookie,那麼名為這個name的Cookie將被從關係戶機上刪掉;
setcookie(“MyCookie”); //刪除MyCookie。
2、設定Cookie的失效時間為time()或time()-1//time()減多少沒有關係啦,只要是過期時間就行//,那麼這個Cookie在這個頁面的瀏覽完之後就被刪除了(其實是失效了)。例如:
    setcookie(“MyCookie”,”Value”,time()-1); //刪除MyCookie。
要注意的是,當一個Cookie被刪除時,它的值在當前頁在仍然有效的。
    如果要把cookie儲存為瀏覽器程序,即瀏覽器關閉後就失效。那麼可以直接把expiretime設為0。例如:setcookie(“name”,”value”,0)。該引數不設定的話,關閉瀏覽器也能結束一個cookie。

Cookie注意事項
1、SetCookie()之前不能有任何html輸出,它認了第二,沒有哪個元素敢認第一,就是空格,空白行都不行。
2、 SetCookie()後,你在當前頁呼叫echo $_COOKIE["name"]不會有輸出。必須重新整理或到下一個頁面才可以看到Cookie值。原因很簡單。SetCookie()執行之後,往客戶端傳送一個cookie,你不重新整理或瀏覽下一個頁面,客戶端怎麼把cookie給你送回去呀?瀏覽器建立了一個Cookie後,對於每一個針對該網站的請求,都會在Header中帶著這個Cookie;不過,對於其他網站的請求Cookie是絕對不會跟著傳送的。而且瀏覽器會這樣一直髮送,直到 Cookie過期為止。
3、使用Cookie的限制。一個瀏覽器能建立的Cookie數量最多為30個,並且每個不能超過4KB,每個WEB站點能設定的Cookie總數不能超過20個。 (這是書上看到的說法,應該是一個web站點能建立的Cookie不能超過30個吧,要不然,我機子裡的cookie少說也上百了,請達人指教!)
4、 Cookie是儲存在客戶端的,使用者禁用了Cookie,你的Cookie自然也就沒作用啦!現在的瀏覽器,每當咱傳送一個Cookie給客戶端,他就像看門狗一樣給攔截住了,並詢問使用者是否允許Cookie進門。天,使用者又不是專家,有幾個人知道啥叫Cookie呀?搞不好都當病毒拒之門外了。


SESSION篇

     Session的中文譯名叫做“會話”,其本來的含義是指有始有終的一系列動作/訊息,比如打電話時從拿起電話撥號到結束通話電話這中間的一系列過程可以稱之為一個session。目前社會上對session的理解非常混亂:有時候我們可以看到這樣的話“在一個瀏覽器會話期間,...”,這裡的會話是指從一個瀏覽器視窗開啟到關閉這個期間;也可以看到“使用者(客戶端)在一次會話期間”這樣一句話,它可能指使用者的一系列動作(一般情況下是同某個具體目的相關的一系列動作,比如從登入到選購商品到結賬登出這樣一個網上購物的過程;然而有時候也可能僅僅是指一次連線;其中的差別只能靠上下文來推斷了。
     然而當session一詞與網路協議相關聯時,它又往往隱含了“面向連線”和/或“保持狀態”這樣兩個含義,“面向連線”指的是在通訊雙方在通訊之前要先建立一個通訊的渠道,比如打電話,直到對方接了電話通訊才能開始。“保持狀態”則是指通訊的一方能夠把一系列的訊息關聯起來,使得訊息之間可以互相依賴,比如一個服務員能夠認出再次光臨的老顧客並且記得上次這個顧客還欠店裡一塊錢。這一類的例子有“一個TCP session”或者“一個POP3 session”。
     鑑於這種混亂已不可改變,要為session下個定義就很難有統一的標準。而在閱讀session相關資料時,我們也只有靠上下文來推斷理解了。不過我們可以這樣理解:例如我們打電話,從撥通的那一刻起到結束通話電話期間,因為電話一直保持著接通的狀態,所以把這種接通的狀態叫做session。它是訪客與整個網站互動過程中一直存在的公有變數,在客戶端不支援COOKIE的時候,為了保證資料正確、安全,就採用SESSION變數。訪問網站的來客會被分配一個唯一的識別符號,即所謂的會話 ID。它要麼存放在客戶端的 cookie,要麼經由 URL 傳遞。
     SESSION的發明填補了HTTP協議的侷限:HTTP協議被認為是無狀態協議,無法得知使用者的瀏覽狀態,當它在服務端完成響應之後,伺服器就失去了與該瀏覽器的聯絡。這與HTTP協議本來的目的是相符的,客戶端只需要簡單的向伺服器請求下載某些檔案,無論是客戶端還是伺服器都沒有必要紀錄彼此過去的行為,每一次請求之間都是獨立的,好比一個顧客和一個自動售貨機或者一個普通的(非會員制)大賣場之間的關係一樣。
     因此通過SESSION(cookie是另外一種解決辦法)記錄使用者的有關資訊,以供使用者再次以此身份對web伺服器提起請求時作確認。會話的發明使得一個使用者在多個頁面間切換時能夠儲存他的資訊。網站程式設計人員都有這樣的體會,每一頁中的變數是不能在下一頁中使用的(雖然form,url也可以實現,但這都是非常不理想的辦法),而SESSION中註冊的變數就可以作為全域性變數使用了。
     那麼SESSION到底有什麼用處呢?網上購物時大家都用過購物車,你可以隨時把你選購的商品加入到購物車中,最後再去收銀臺結帳。在整個過程中購物車一直扮演著臨時存貯被選商品的角色,用它追蹤使用者在網站上的活動情況,這就是SESSION的作用,它可以用於使用者身份認證,程式狀態記錄,頁面之間引數傳遞等。
     SESSION 的實現中採用COOKIE技術,SESSION會在客戶端儲存一個包含session_id(SESSION編號)的COOKIE;在伺服器端儲存其他 session變數,比如session_name等等。當用戶請求伺服器時也把session_id一起傳送到伺服器,通過session_id提取所儲存在伺服器端的變數,就能識別使用者是誰了。同時也不難理解為什麼SESSION有時會失效了。
     當客戶端禁用COOKIE時(點選IE中的“工具”—“Internet選項”,在彈出的對話方塊裡點選“安全”—“自定義級別”項,將“允許每個對話COOKIE”設為禁用),session_id將無法傳遞,此時SESSION失效。不過php5在linux/unix平臺可以自動檢查cookie狀態,如果客戶端設定了禁用,則系統自動把session_id附加到url上傳遞。windows主機則無此功能。
     


2、Session常見函式及用法?
Session_start()開始一個會話或者返回已經存在的會話。
   說明:這個函式沒有引數,且返回值均為true。如果你使用基於cookie的session(cookie-based sessions),那麼在使用Session_start()之前瀏覽器不能有任何輸出,否則會發生以下錯誤:
Warning: Cannot send session cache limiter - headers already sent (output started at /usr/local/apache/htdocs/cga/member/1.php:2)…………
你可以在php.ini裡啟動session.auto_start=1,這樣就無需每次使用session之前都要呼叫session_start()。但啟用該選項也有一些限制,如果確實啟用了 session.auto_start,則不能將物件放入會話中,因為類定義必須在啟動會話之前載入以在會話中重建物件。
請求結束後所有註冊的變數都會被序列化。已註冊但未定義的變數被標記為未定義。在之後的訪問中這些變數也未被會話模組定義,除非使用者以後定義它們。
警告: 有些型別的資料不能被序列化因此也就不能儲存在會話中。包括 resource 變數或者有迴圈引用的物件(即某物件將一個指向自己的引用傳遞給另一個物件)。
註冊SESSION變數 :
PHP5使用$_SESSION[‘xxx’]=xxx註冊SESSION全域性變數。和GET,POST,COOKIE的使用方法相似。
   注意:session_register(),session_unregister ,session_is_registered在php5下不再使用,除非在php.ini裡把register_globle設為on,不過出於安全考慮,強烈建議關閉register_globle。HTTP_SESSION_VARS也不提倡使用了,官方建議用$_SESSION代替之。例如:
Page1.php
<?php
Session_start();       //使用SESSION前必須呼叫該函式。
$_SESSION[‘name’]=”我是黑旋風李逵!”;   //註冊一個SESSION變數
$_SESSION[‘passwd’]=”mynameislikui”;
$_SESSION[‘time’]=time();
echo '<br /><a href="page2.php">通過COOKIE傳遞SESSION</a>';   //如果客戶端支援cookie,可通過該連結傳遞session到下一頁。
echo '<br /><a href="page2.php?' . SID . '">通過URL傳遞SESSION</a>';//客戶端不支援cookie時,使用該辦法傳遞session.
?>
Page2.php
<?php
session_start();
echo $_SESSION['name']; //
echo $_SESSION['passwd'];   //
echo date('Y m d H:i:s', $_SESSION['time']);
echo '<br /><a href="page1.php">返回山一頁</a>';
?>


有兩種方法傳遞一個會話 ID:
cookie
URL 引數
會話模組支援這兩種方法。cookie 更優化,但由於不總是可用,也提供替代的方法。第二種方法直接將會話 ID 嵌入到 URL 中間去。
PHP 可以透明地轉換連線。除非是使用 PHP 4.2 或更新版本,需要手工在編譯 PHP 時啟用。在 Unix 下,用 --enable-trans-sid 配置選項。如果此配置選項和執行時選項 session.use_trans_sid 都被啟用(修改php.ini),相對 URI 將被自動修改為包含會話 ID。
session_id
    session_id() 用於設定或取得當前session_id。php5中既可以使用session_id(),也可以通過附加在url上的SID取得當前會話的session_id和session_name。
    如果session_id()有具體指定值的話,將取代當前的session_id值。使用該函式前必須啟動會話:session_start();
    當我們使用session cookies時,如果指定了一個session_id()值,每次啟動session_start()都會往客戶端傳送一個cookie值。不論當前session_id是否與指定值相等。
session_id()如果沒有指定值,則返回當前session_id();當前會話沒有啟動的話,則返回空字串。
 ●檢查session是否存在?
    在以往的php版本中通常使用session_is_register()檢查session是否存在,如果您使用$_SESSION[‘XXX’]=XXX來註冊會話變數,則session_is_register()函式不再起作用。你可以使用
isset($_SESSION[‘xxx’])來替代。
● 更改session_id  session_regenerate_id() 更改成功則返回true,失敗則返回false。
使用該函式可以為當前session更改session_id,但不改變當前session的其他資訊。例如:
<?php
session_start();
$old_sessionid = session_id();
session_regenerate_id();
$new_sessionid = session_id();
echo "原始 SessionID: $old_sessionid<br />";
echo "新的 SessionID: $new_sessionid<br />";
echo"<pre>";
print_r($_SESSION);
echo"</pre>";
?>
session_name()返回當前session的name或改變當前session的name。如果要改變當前session的name,必須在session_start()之前呼叫該函式。注意:session_name不能只由數字組成,它至少包含一個字母。否則會在每時每刻都生成一個新的session id.
session改名示例:
<?php
$previous_name = session_name("WebsiteID");
echo "新的session名為: $previous_name<br />";
?>

如何刪除session?
1、unset ($_SESSION['xxx'])刪除單個session,unset($_SESSION['xxx']) 用來unregister一個已註冊的session變數。其作用和session_unregister()相同。 session_unregister()在PHP5中不再使用,可將之打入冷宮。
unset($_SESSION)  此函數千萬不可使用,它會將全域性變數$_SESSION銷燬,而且還沒有可行的辦法將其恢復。使用者也不再可以註冊$_SESSION變數。
2、$_SESSION=array()刪除多個session
3、session_destroy()結束當前的會話,並清空會話中的所有資源。。該函式不會unset(釋放)和當前session相關的全域性變數(globalvariables),也不會刪除客戶端的session cookie.PHP預設的session是基於cookie的,如果要刪除cookie的話,必須藉助setcookie()函式。
    返回值:布林值。
    功能說明:這個函式結束當前的session,此函式沒有引數,且返回值均為true

   session_unset() 如果使用了$_SESSION,則該函式不再起作用。由於PHP5必定要使用$_SESSION,所以此函式可以打入冷宮了。

下面是PHP官方關於刪除session的案例:
<?php
// 初始化session.
session_start();
/*** 刪除所有的session變數..也可用unset($_SESSION[xxx])逐個刪除。****/
$_SESSION = array();
/***刪除sessin id.由於session預設是基於cookie的,所以使用setcookie刪除包含session id的cookie.***/
if (isset($_COOKIE[session_name()])) {
   setcookie(session_name(), '', time()-42000, '/');
}
// 最後徹底銷燬session.
session_destroy();
?>

由此我們可以得出刪除Session的步驟:
①session_start()
②$_SESSION=array()/unset($_SESSION['xxx'])
③session_destroy()

● SESSION安全:
    會話模組不能保證存放在會話中的資訊只能被建立該會話的使用者看到。根據其存放的資料,還需要採取更多措施來主動保護會話的完整性。
    評估會話中攜帶的資料並實施附加保護措施通常要付出代價,降低使用者的方便程度。例如,如果要保護使用者免於受簡單的社交策略侵害(注:指在 URL 中顯示的會話 ID 會被別人在電腦螢幕上看到,或被別的網站通過 HTTP Referer 得到等),則應該啟用 session.use_only_cookies。此情形下,客戶端必須無條件啟用 cookie,否則會話就不工作。
    有幾種途徑會將現有的會話 ID 洩露給第三方。洩露出的會話 ID 使第三方能夠訪問所有與指定 ID 相關聯的資源。第一,URL 攜帶會話 ID。如果連線到外部站點,包含有會話 ID 的 URL 可能會被存在外部站點的 Referer 日誌中。第二,較主動的攻擊者可能會偵聽網段的資料包。如果未加密,會話 ID 會以明文方式在網路中流過。對此的解決方式是在伺服器上實施 SSL 並強制使用者使用。
    預設情況下,所有與特定會話相關的資料都被儲存在由 INI 選項 session.save_path 指定的目錄下的一個檔案中。對每個會話會建立一個檔案(不論是否有資料與該會話相關)。這是由於每開啟一個會話即建立一個檔案,不論是否有資料寫入到該檔案中。注意由於和檔案系統協同工作的限制,此行為有個副作用,有可能造成使用者定製的會話處理器(例如用資料庫)丟失了未儲存資料的會話。
        上面介紹函式下文將會用到,但還有一些有關session的函式也介紹一下:
 session_encode
    函式功能:sesssion資訊編碼
    函式原型:string session_encode(void);
    返回值:字串
    功能說明:返回的字串中包含全域性變數中各變數的名稱與值,形式如:a|s:12:"it is a test";c|s:4:"lala"; a是變數名 s:12代表變數a的值"it is a test的長度是12 變數間用分號”;”分隔。
 session_decode
    函式功能:sesssion資訊解碼
    函式原型:boolean session_decode (string data)
    返回值:布林值
    功能說明:這個函式可將session資訊解碼,成功則返回邏輯值true
Php5 不再使用session_id,而是把它變成一個常量SID,並儲存在cookie中。如果客戶端禁用了cookie,php會自動通過url自動傳動傳遞SID,其條件是設定php.ini中的session.use_trans_sid = 1。此時即使客戶端即使禁用了cookie也沒關係了。
   用 strip_tags() 來輸出 SID 以避免 XSS 相關的攻擊。

Session跨頁傳遞問題:
session跨頁傳遞需要考慮三種情況:
①客戶端禁用了cookie。
②瀏覽器出現問題,暫時無法存取cookie
③php.ini中的session.use_trans_sid = 0或者編譯時沒有開啟--enable-trans-sid選項
為什麼會這樣呢?下面解釋一下原因:
Session檔案分為兩部分:session變數儲存在伺服器端(預設以檔案方式儲存session);而session id則以cookie形式儲存在客戶端。(注意:session預設是基於cookie的)。
    當用戶的瀏覽器向伺服器提出請求時,同時傳送包含session id的cookie(預設情況下)。伺服器根據客戶端提供的session id來得到使用者的檔案,即儲存在伺服器端的session變數值。事實上,session id可以使用客戶端的Cookie或者Http1.1協議的Query_String(就是訪問的URL的“?”後面的部分)來傳送給伺服器,然後伺服器讀取Session的目錄……。也就是說,session id是取得儲存在服務上的session變數的身份證。當代碼session_start();執行的時候,就在伺服器上產生了一個session檔案,隨之也產生了與之唯一對應的一個session id,定義session變數以一定形式儲存在剛才產生的session檔案中。通過session id,可以取出定義的變數。跨頁後,為了使用session,你必須又執行session_start();將又會產生一個session檔案,與之對應產生相應的session id,用這個session id是取不出前面提到的第一個session檔案中的變數的,因為這個session id不是開啟它的“鑰匙”。如果在session_start();之前加程式碼session_id($session id);將不產生新的session檔案,直接讀取與這個id對應的session檔案。
    PHP中的session在預設情況下是使用客戶端的Cookie來儲存session id的,所以當客戶端的cookie出現問題的時候就會影響session了。必須注意的是:session不一定必須依賴cookie,這也是 session相比cookie的高明之處。當客戶端的Cookie被禁用或出現問題時,PHP會自動把session id附著在URL中,這樣再通過session id就能跨頁使用session變量了。但這種附著也是有一定條件的,其一:“php.ini中的session.use_trans_sid = 1或者編譯時開啟打開了--enable-trans-sid選項”;其二:執行PHP的伺服器必須是unix/linux系統,windows不具備此項功能。
     明白了以上的道理,我們就可以得出解決session跨頁傳遞問題的三條途徑:
1、設定php.ini中的session.use_trans_sid = 1或者編譯時開啟打開了--enable-trans-sid選項,讓PHP自動跨頁傳遞session id。
2、手動通過URL傳值、隱藏表單傳遞session id。
3、用檔案、資料庫等形式儲存session_id,在跨頁過程中手動呼叫。
下面舉例說明:
第一種情況:
page1.php
<?php
session_start();
$_SESSION['var1']="中華人民共和國";
$url="<a href="."\"s2.php\">下一頁</a>";
echo $url;
?>
page2.php
<?php
session_start();
echo "傳遞的session變數var1的值為:".$_SESSION['var1'];
?>
執行以上程式碼,在客戶端cookie正常的情況下,應該可以在得到結果“中華人民共和國”。
現在你手動關閉客戶端的cookie,再執行,可能得不到結果了吧。如果得不到結果,再“設定php.ini中的session.use_trans_sid = 1或者編譯時開啟打開了--enable-trans-sid選項”,又得到結果“中華人民共和國”

第二種途徑:
s1.php
<?php
session_start();
$_SESSION['var1']="中華人民共和國";
$sn = session_id();
$url="<a href="."\"s2.php?s=".$sn."\">下一頁</a>";    //PHP5定義了一個常量SID來表示session_id(),$url還可以寫成$url='<a href="page2.php?' . SID . '">下一頁</a>';
echo $url;
?>
s2.php
<?php
session_id($_GET['s']);
session_start();
echo "傳遞的session變數var1的值為:".$_SESSION['var1'];
?>
第三種途徑:
login.html
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<html>
<head>
<title>Login</title>
<meta http-equiv="Content-Type" content="text/html; charset=??????">
</head>
<body>
請登入:
<form name="login" method="post" action="mylogin1.php">
使用者名稱:<input type="text" name="name"><br>
口 令:<input type="password" name="pass"><br>
<input type="submit" value="登入">
</form>
</body>
</html>
mylogin1.php
<?php
$name=$_POST['name'];
$pass=$_POST['pass'];
if(!$name || !$pass) {
    echo "使用者名稱或密碼為空,請<a href=\"login.html\">重新登入</a>";
    die();
}
if (!($name=="laogong" && $pass=="123")) {
    echo "使用者名稱或密碼不正確,請<a href=\"login.html\">重新登入</a>";
    die();
}
//註冊使用者
ob_start();
session_start();
$_SESSION['user']= $name;
$psid=session_id();
$fp=fopen("e:\\tmp\\phpsid.txt","w+");
fwrite($fp,$psid);
fclose($fp);
//身份驗證成功,進行相關操作
echo "已登入<br>";
echo "<a href=\"mylogin2.php\">下一頁</a>";
?>
mylogin2.php
<?php
$fp=fopen("e:\\tmp\\phpsid.txt","r");
$sid=fread($fp,1024);
fclose($fp);
session_id($sid);
session_start();
if(isset($_SESSION['user']) && $_SESSION['user']="laogong" ) {
     echo "已登入!";
}
else {
    //成功登入進行相關操作
    echo "未登入,無權訪問";