`
victorwmh
  • 浏览: 206554 次
  • 性别: Icon_minigender_1
  • 来自: 宇宙
社区版块
存档分类
最新评论

PHP Session原理分析及使用

    博客分类:
  • php
阅读更多

     之前在一个叫魔法实验室的博客中看过一篇《php session原理彻底分析》的文章,作者从session的使用角度很好阐述了在代码运行过程中,每个环节的变化以及相关参数的设置及作用。本来想把原文转帖过来,但是原博客被关闭了。不知是这次大范围的重新备案,还是其他什么原因所致。通过百度快照找到一些原文资料,没找到的将按之前的理解重新整理,以使大家对session能有更多了解。

楔子:Session大白话

Session,英文翻译为“会话”,两个人聊天,从第一句问好,到最后一句再见,这就构成了一个会话。PHP里的session主要是指客户端浏览器与服务端数据交换的对话,从浏览器打开到关闭,一个最简单的会话周期。计算机语言一般怎么实现会话呢?举个通俗的例子:
服务端好比一个理发店,客户端好比每一个去理发的客人,很多理发店都有这种促销手段,连续消费10次的客人,可以免费一次,大概有三种方式来实现:
1、理发师傅记性太好,你来过几次,他看一眼就知道——这叫协议本身支持会话;
2、每个客人发一个会员卡,你每次消费,都要带着这个卡片,消费一次记录一笔,当然还要加盖印章——这叫通过cookie实现会话,缺点是安全性不高,我完全可以伪造会员卡或者公章;
3、理发店准备一个大帐本,客人每人对应一个会员号或者自己的个人资料,甚至密码,每个客人来消费,报一下自己的会员号,再把消费次数记录到大帐本里——这就是session实现会话,客人脑子里的会员号就是保存在客户端的SESSIONID,大帐本就是保存在服务端的session数据,这样相比第二种方法,安全性要高很多,除非你说你把自己的会员号和密码都搞丢了,这叫做伪造客户端的SESSIONID。
 
因为http协议是无状态的,所以php要实现会话只能通过后面两种方式,前一种cookie,缺点已经说了,安全性不高,所以重要的会话会选择使用session。session会话必须依靠一个标识,也可以理解成一个暗号,就是SESSIONID。这是个经过加密的串,保存在客户端,通常在cookie里,客户端与服务端的每次交流都是通过这个SESSIONID,客户端先自报家门,服务器才能找到你在服务端保存的会话数据,继续通话。

php.ini常用session设置

[服务端]
session.save_handler = files
默认为file,定义session在服务端的保存方式,file意为把sesion保存到一个临时文件里,如果我们想自定义别的方式保存(比如用数据库),则需要把该项设置为user;
 
session.save_path = "/tmp/"
定义服务端存储session的临时文件的位置。
 
session.auto_start = 0
如置1,则不用在每个文件里写session_start(); session自动start。
 
session.gc_probability = 1
session.gc_divisor = 100
session.gc_maxlifetime = 1440
这三个配置组合构建服务端session的垃圾回收机制session.gc_probability与session.gc_divisor构成执行session清理的概率,理论上的解释为服务端定期有一定的概率调用gc函数来对session进行清理,清理的概率为:gc_probability/gc_divisor 比如:1/100  表示每一个新会话初始化时,有1%的概率会启动垃圾回收程序,清理的标准为session.gc_maxlifetime定义的时间。
 
[客户端]
session.use_cookies = 1
sessionid在客户端采用的存储方式,置1代表使用cookie记录客户端的sessionid,同时,$_COOKIE变量里才会有$_COOKIE[‘PHPSESSIONID’]这个元素存在;
 
session.use_only_cookies = 1
也是定义sessionid在客户端采用的存储方式,置1代表仅仅使用 cookie 来存放会话 ID。一般来说,现在客户端都会支持cookie,所以建议设置成1,这样可以防止有关通过 URL 传递会话 ID 的攻击。
 
session.use_trans_sid = 0
相对应于上面那个设置,这里如果置1,则代表允许sessionid通过url参数传递,同理,建议设置成0;
 
session.referer_check = 
这个设置在session.use_trans_sid = 1的时候才会生效,目的是检查HTTP头中的"Referer"以判断包含于URL中的会话id是否有效,HTTP_REFERER必须包含这个参数指定的字符串,否则URL中的会话id将被视为无效。所以一般默认为空,即不检查。 
 
session.name = PHPSESSID
定义sessionid的名称,即变量名,通过浏览器http工具可以查看PHPSESSID的值;
 
session.hash_function = 0
选择session_name的加密方式,0代表md5加密,1代表sha1加密,默认是0,但是据说用sha1方式加密,安全性更高;
 
session.hash_bits_per_character = 4
指定在session_name字符串中的每个字符内保存多少位二进制数,这些二进制数是hash函数的运算结果。
4   bits:   0-9,   a-f 
5   bits:   0-9,   a-v 
6   bits:   0-9,   a-z,   A-Z,   "-",   ","
 
url_rewriter.tags = "a=href,area=href,frame=src,input=src,form=,fieldset="
指定重写哪些HTML标签来包含sid(session_id)(仅在"session.use_trans_sid"打开的情况下有效),URL重写器将添加一个隐藏的"<input>",它包含了本应当额外追加到URL上的信息。 
 
session.cookie_lifetime = 0
保存sessionid的cookie文件的生命周期,如置0,代表会话结束,则sessionid就自动消失,常见的强行关闭浏览器,就会丢失上一次的sessionid;
 
session.cookie_path = /
保存sessionid的cookie文件在客户端的位置;
 
session.cookie_domain = /
保存sessionid的cookie的域名设置,这跟cookie允许的域名的访问权限设置有关,一般来说想让自己网站所有的目录都能访问到客户端的cookie,就应该设置成“/”如需要详细了解,可以看下setcookie()函数的domain参数相关设置和使用方法;
 
session.bug_compat_42 = 1
session.bug_compat_warn = 1
这两个可以说几乎是快要被废弃的设置,是为了老版本的php服务的,主要是针对session_register函数,因为php5的register_global默认是关闭状态,所以在php5里根本用不到session_register这个函数;并且php6就要废除这个设置,直接定义为关闭,所以没必要研究这两个了;


session_start()做了些什么?

假设php.ini中session的几个关键参数配置为:
session.save_handler = files
session.use_cookies = 1
session.name = PHPSESSID
session.save_path = "/tmp/"

 

下面通过代码样例阐述,在一个会话过程中session_start的作用。

程序1:
<?php
session_start();
$_SESSION['uname'] = 'monkey';
$_SESSION['ukey'] = 20119999;
?>


程序1执行后,session_start()会做两件事:


1、在客户端生成一个存放PHPSESSID的cookie文件,这个文件的存放位置和存放方式跟程序的执行方式有关,不同的浏览器也不尽相同,这一步会产生一个序列化后的字符串——PHPSESSID;查看浏览器中的cookie信息,可以安装相关插件。firefox中httpfox,web developer等都是很好的工具。


2、在服务端生成一个存放session数据的临时文件,存放的位置由session.save_path参数指定,名称类似于“sess_85891d6a81ab13965d349bde29b2306c”,“sess_”代表这是个session文件,“85891d6a81ab13965d349bde29b2306c”即此次会话的PHPSESSID,跟客户端的PHPSESSID值是一样的。
用编辑器打开“sess_85891d6a81ab13965d349bde29b2306c”文件,会看到一串“uname|s:6:"monkey";ukey|i:20119999;”这样的内容。这个文件里存放的就是$_SESSION变量的具体内容,每个变量用“;"分号隔开。


格式为:变量名 | 变量类型 : [长度] : 值; 例如: uname|s:6:"monkey"; 表示SESSION变量uname的类型为字符串,值长度为6,值为monkey.

那么问题来了,上面说的两件事,是在程序执行到session_start(),就完成的吗?这两件事,谁先谁后呢?
让试验来证明,稍微改动一下程序:

程序2:
<?php
session_start();
$_SESSION['uname'] = 'monkey';
$_SESSION['ukey'] = 20119999; 
 
sleep(30);
?> 

先把客户端和服务端的session数据通通删除,然后执行程序2,趁着程序里的sleep30秒的工夫,去查看客户端和服务端的session情况,发现:在程序执行过程中,客户端并没有建立保存PHPSESSID的cookie文件,服务端却已经有了保存session内容的临时文件,但是文件里没有内容,等30秒时间过了之后,客户端的cookie文件才会生成,服务端的session文件里才有了内容。


由此推断大致流程应该为:在程序执行到session_start()的时候,服务端首先生成PHPSESSID,并生成相对应的session文件,但是在程序进行$_SESSION赋值的时候,并没有把相应的值写入到session文件里,姑且臆断为保存在内存里吧,到了程序执行完毕后,才会在客户端生成保存PHPSESSID的cookie文件,并把$_SESSION变量里的值写入服务端的session文件里,至于最后两个步骤谁先谁后,暂时还没有想到好办法来证明。
 

为了更进一步论证,删除客户端和服务端的session相关内容执行程序3,观察第一次和第二次的结果:
程序3:
<?php
session_start();
$_SESSION['uname'] = 'monkey';
$session_id = session_id();
$sess_file = "/tmp/sess_".$session_id;
$content = file_get_contents($sess_file);
 
echo '***'.$_COOKIE['PHPSESSID'] .'***';
echo '<br />' . $_SESSION['uname'] . '<br />';
echo '***'.$content.'***';
?> 
 

上面说的是第一次sessin_start()的执行方式,也就是一套程序里,第一个session_start()出现的时候所做的事情,下面来看之后的session_start():

假设的php.ini配置:session.cookie_lifetime = 0       

程序4:
<?php
session_start(); 
echo $_SESSION['uname'];
echo $_SESSION['ukey'];
?> 

现在,客户端已经有了保存PHPSESSID的cookie文件,服务端也有了保存session内容的sess_文件,执行程序4,会打印出正常的内容。这时,如果强行关闭浏览器,再执行程序4,结果会怎样呢?

 

首先,session.cookie_lifetime设置成0,表示客户端保存PHPSESSID的cookie文件的生存周期为0,浏览器如果处于开启状态,PHPSESSID的值会保存在内存中,一旦强行关闭,保存PHPSESSID的cookie文件会同时销毁,但是服务端并没有执行session_destroy(),所以,服务端的session数据文件还在,但是当浏览器再次打开执行程序4,发现什么都没有输出,由此推理:


session_start()首先会去获取客户端cookie里的PHPSESSID,然后与“sess_”组成文件名,去服务端查找这个文件,然后取出文件里的内容,把内容放到$_SESSION全局变量里以供使用。浏览器强行关闭,再打开,之前的PHPSESSID丢失,这时遇到session_start()就相当于上面说的第一次执行,会生成一个新的PHPSESSID,这个PHPSESSID匹配不到之前那个服务端的sess_文件,所以取不到内容。当然,服务端也有能跟这个PHPSESSID匹配的文件,不过,那个文件还是空的。


所以,有的系统为了实现同一用户只能在一台机器甚至一个浏览器登录的机制,如果没有修改session.cookie_lifetime的设置,就会出现强行关闭浏览器之后,在服务端session生存期截止前该,用户登录不进去的情况,比较好的办法是把session.cookie_lifetime设置成一个比较大的值,反正一个cookie文件存在时间久一些也没什么影响。

 

分享到:
评论

相关推荐

    PHP的cookie与session原理及用法详解

    主要介绍了PHP的cookie与session原理及用法,结合实例形式详细分析了cookie与session的原理及php操作cookie与session的相关注意事项,需要的朋友可以参考下

    PHP中Session ID的实现原理实例分析

    本文实例讲述了PHP中Session ID的实现原理。分享给大家供大家参考,具体如下: Session 的工作机制是:为每个访问者创建一个唯一的 id (UID),并基于这个 UID 来存储变量。UID 存储在 cookie 中,亦或通过 URL 进行...

    解析php中session的实现原理以及大网站应用应注意的问题

    本篇文章是对php中session的实现原理以及大网站应用应注意的问题进行了详细的分析介绍,需要的朋友参考下

    PHP100视频教程全集112集BT种子【PHP经典】

    PHP100视频教程14:PHP上传原理及应用 PHP100视频教程15:PHP生成HTML文件原理 PHP100视频教程16:PHP小偷程序原理和实例 PHP100视频教程17:PHP面向对象开发的学习(一) PHP100视频教程18:PHP面向对象开发的...

    php中使用session防止用户非法登录后台的方法

    主要介绍了php中使用session防止用户非法登录后台的方法,详细分析了session防止用户非法登录后台的原理与相关实现技巧,需要的朋友可以参考下

    PHP session垃圾回收机制实例分析

    主要介绍了PHP session垃圾回收机制,简单分析了session垃圾回收机制的原理、配置及相关使用技巧,需要的朋友可以参考下

    CodeIgniter配置之SESSION用法实例分析

    主要介绍了CodeIgniter配置之SESSION用法,结合实例形式分析了PHP中session的运行原理并演示了CI框架下session的配置与使用方法,需要的朋友可以参考下

    史上最全韩顺平传智播客PHP就业班视频,10月份全集

    9-23 2.session①-session原理介绍 保存session 9-23 3.session②-获取session 更新session 删除session session细节和原理深入讨 9-23 4.session③-购物车 cookie禁用后如何使用session session防用户非法登录 9-23...

    史上最全韩顺平传智播客PHP就业班视频,9月份全集

    9-23 2.session①-session原理介绍 保存session 9-23 3.session②-获取session 更新session 删除session session细节和原理深入讨 9-23 4.session③-购物车 cookie禁用后如何使用session session防用户非法登录 9-23...

    (全)传智播客PHP就业班视频完整课程

    9-23 2.session①-session原理介绍 保存session 9-23 3.session②-获取session 更新session 删除session session细节和原理深入讨 9-23 4.session③-购物车 cookie禁用后如何使用session session防用户非法登录 9-23...

    PHP网络编程技术与实践 源码

    8.2.5 其他Session函数使用说明 8.3 本章小结 第9章 使用PHP生成静态页面 9.1 为什么要生成静态页面 9.2 静态技术介绍和使用 9.3 常见的模板技术模块 9.3.1 SMARTY模板技术 9.3.2 PHPLib模板技术 9.3.3 FastTemplate...

    PHP编程中的Session阻塞问题与解决方法分析

    主要介绍了PHP编程中的Session阻塞问题与解决方法,简单分析了php session阻塞的原理、原因与简单解决方法,需要的朋友可以参考下

    php课程(共100多节)

    14:PHP上传原理及应用 15:PHP生成HTML文件原理 16:PHP小偷程序原理和实例 17:PHP面向对象开发的学习(一) 18:PHP面向对象开发的学习(二) 19:PHP面向对象开发的学习(三) 20:PHP面向对象开发的学习(四) ...

    PHP使用Session实现上传进度功能详解

    主要介绍了PHP使用Session实现上传进度功能,结合实例形式详细分析了session上传进度显示相关原理、实现方法及操作注意事项,需要的朋友可以参考下

    php实现多站点共用session实现单点登录的方法详解

    主要介绍了php实现多站点共用session实现单点登录的方法,结合实例形式详细分析了php多站点共用seeion实现单点登录相关原理及操作注意事项,需要的朋友可以参考下

    史上最全传智播客PHP就业班视频课,8月份视频

    9-23 2.session①-session原理介绍 保存session 9-23 3.session②-获取session 更新session 删除session session细节和原理深入讨 9-23 4.session③-购物车 cookie禁用后如何使用session session防用户非法登录 9-23...

    PHP session会话操作技巧小结

    主要介绍了PHP session会话操作技巧,结合实例形式详细总结分析了php中session会话操作的原理、配置方法、使用技巧与相关注意事项,需要的朋友可以参考下

    韩顺平PHP JS JQUERY 所有视频下载种子 货真价实

    9-23 2.session①-session原理介绍 保存session 9-23 3.session②-获取session 更新session 删除session session细节和原理深入讨 9-23 4.session③-购物车 cookie禁用后如何使用session session防用户非法登录 9-23...

    PHP入门到精通

    程序调试及错误处理(教学录像:1小时19秒) 20.1基本调试流程 20.2PHP中的错误类型 20.3PHP的基本调试策略 20.4解决数据库乱码问题 第3篇 高级应用 PHP网络开发(教学录像:42分33秒) 21.1电子邮件的原理 21.2系统...

Global site tag (gtag.js) - Google Analytics