1. 程式人生 > >深入理解PHP的Session機制

深入理解PHP的Session機制

今天在看鳥哥的 如何設定一個嚴格30分鐘過期的Session 這篇文章的時候
對php的session機制產生了興趣,在網上找了點資料來研究了下

php會話管理系統支援許多配置選項,可以在自己的 php.ini 檔案中設定
在php.ini對於session的配置中,session.save_handler 定義了來儲存和獲取與會話關聯的資料的處理器的名字,預設為 files,需要注意的是個別的擴充套件可以註冊自己的save_handlers;註冊的處理程式可在每個安裝基礎通過參考的phpinfo()獲得。參見一下session_set_save_handler()。
PHP配置中對於會話的處理有2種方式,一種是預設的files,一種是user使用者自定義的。
一、session.save_handler=files
1. session_start()
1.1 session_start()是session機制的開始,它有一定概率開啟垃圾回收,因為session是存放在檔案中,PHP自身的垃圾回收是對SESSION會話無效的,SESSION的回收是要刪檔案的,這個概率是根據php.ini的配置(session.save_path)決定的。
有的系統是 session.gc_probability = 0,這也就是說概率是0,而是通過cron指令碼來實現垃圾回收。

            session.gc_probability = 1
            session.gc_divisor = 100
            session.gc_maxlifetime = 1440//過期時間 預設24分鐘
            //概率是 session.gc_probability/session.gc_divisor 結果 1/100, 
            //不建議設定過小,因為session的垃圾回收,是需要檢查每個檔案是否過期的。
            session.save_path = //好像不同的系統預設不一樣,有一種設定是 "N;/path"
//這是隨機分級儲存,這個樣的話,垃圾回收將不起作用,需要自己寫指令碼

1.2 session會判斷當前是否有$_COOKIE[session_name()];session_name()返回儲存session_id的COOKIE鍵值,這個值可以從php.ini找到

session.name = PHPSESSID //預設值PHPSESSID

1.3 如果不存在會生成一個session_id,然後把生成的session_id作為COOKIE的值傳遞到客戶端。相當於執行了下面COOKIE 操作,注意的是,這一步執行了setcookie()操作,COOKIE是在header頭中傳送的,這之前是不能有輸出的,PHP有另外一個函式 session_regenerate_id() 如果使用這個函式,這之前也是不能有輸出的。

    setcookie(session_name(),
              session_id(),
              session.cookie_lifetime,//預設0
              session.cookie_path,//預設'/'當前程式跟目錄下都有效
              session.cookie_domain,//預設為空
              )

1.4 如果存在那麼session_id = $_COOKIE[session_name] ;
然後去session.save_path指定的資料夾裡面取找名字為’SESS_’ . session_id()的檔案。
讀取檔案的內容反序列化,然後放到$_SESSION 全域性變數中
2. 為 $_SESSION 賦值
比如新新增一個值 $_SESSION[‘test’]= ‘test’; 那麼這個$_SESSION只會維護在內容中,當指令碼執行結束的時候,把$_SESSION的值寫入到session_id指定的資料夾中,然後關閉相關資源. 這個階段有可能執行更改session_id的操作。
比如銷燬一箇舊的的session_id,生成一個全新的session_id.一半用在自定義 session操作,角色的轉換上,比如Drupal.Drupal的匿名使用者有一個SESSION的,當它登入後需要換用新的session_id。

if (isset($_COOKIE[session_name()])) {
          setcookie(session_name(), '', time() - 42000, '/');//舊session cookie過期
        }
        session_regenerate_id();//這一步會生成新的session_id
       //session_id()返回的是新的值

3.寫入SESSION操作
在指令碼結束的時候會執行SESSION寫入操作,把$_SESSION中值寫入到session_id命名的檔案中,可能已經存在,可能需要建立新的檔案。
4. 銷燬SESSION
SESSION發出去的COOKIE一般屬於即時COOKIE,儲存在記憶體中,當瀏覽器關閉後,才會過期,假如需要人為強制過期,比如 退出登入,而不是關閉瀏覽器,那麼就需要在程式碼裡銷燬SESSION,方法有很多.
4.1 setcookie(session_name(), session_id(), time() - 8000000, ..);//退出登入前執行
4.2 usset($_SESSION);//這會刪除所有的$_SESSION資料,重新整理後,有COOKIE傳過來,但是沒有資料。
4.3 session_destroy();//這個作用更徹底,刪除$_SESSION 刪除session檔案,和session_id
當不關閉瀏覽器的情況下,再次重新整理,2和3都會有COOKIE傳過來,但是找不到資料

二、session.save_handler=user
在php手冊中有session_set_save_handler 來 設定使用者自定義會話儲存函式, 如果想使用 PHP 內建的會話儲存機制之外的方式, 可以使用本函式。 例如,可以自定義會話儲存函式來將會話資料儲存到資料庫。
具體可以檢視PHP手冊 http://php.net/manual/zh/function.session-set-save-handler.php