PHP 会话 (session 时间设定) 使用入门

原创 2007年09月28日 09:03:00

对比起 Cookie,Session 是存储在服务器端的会话,相对安全,并且不像 Cookie 那样有存储长度限制,本文简单介绍 Session 的使用。   由于 Session 是以文本文件形式存储在服务器端的,所以不怕客户端修改 Session 内容。实际上在服务器端的 Session 文件,PHP 自动修改 Session 文件的权限,只保留了系统读和写权限,而且不能通过 ftp 修改,所以安全得多。PHPChina 开源社区门户k%W%e2CY
   对于 Cookie 来说,假设我们要验证用户是否登陆,就必须在 Cookie 中保存用户名和密码(可能是 md5 加密后字符串),并在每次请求页面的时候进行验证。如果用户名和密码存储在数据库,每次都要执行一次数据库查询,给数据库造成多余的负担。因为我们并不能 只做一次验证。为什么呢?因为客户端 Cookie 中的信息是有可能被修改的。假如你存储 $admin 变量来表示用户是否登陆,$admin 为 true 的时候表示登陆,为 false 的时候表示未登录,在第一次通过验证后将 $admin 等于 true 存储在 Cookie,下次就不用验证了,这样对么?错了,假如有人伪造一个值为 true 的 $admin 变量那不是就立即取的了管理权限么?非常的不安全。PHPChina 开源社区门户gs1o5u2?-J9J3{"Q
   而 Session 就不同了,Session 是存储在服务器端的,远程用户没办法修改 Session 文件的内容,因此我们可以单纯存储一个 $admin 变量来判断是否登陆,首次验证通过后设置 $admin 值为 true,以后判断该值是否为 true,假如不是,转入登陆界面,这样就可以减少很多数据库操作了。而且可以减少每次为了验证 Cookie 而传递密码的不安全性了(Session 验证只需要传递一次,假如你没有使用 SSL 安全协议的话)。即使密码进行了 md5 加密,也是很容易被截获的。PHPChina 开源社区门户3?q5An'Yjr.~Iw&q7g
  当然使用 Session 还有很多优点,比如控制容易,可以按照用户自定义存储等(存储于数据库)。我这里就不多说了。PHPChina 开源社区门户 s6z!mbk4e
  Session 在 php.ini 是否需要设置呢?一般不需要的,因为并不是每个人都有修改 php.ini 的权限,默认 Session 的存放路径是服务器的系统临时文件夹,我们可以自定义存放在自己的文件夹里,这个稍后我会介绍。
$o h-Q8I8g(U]0  开始介绍如何创建 Session。非常简单,真的。PHPChina 开源社区门户N8x&J0x'g:YKT;l
  启动 Session 会话,并创建一个 $admin 变量:
Px9m h H n/N0<?php
)i,W|/ j G V W$z/E0   
//  启动 Session
-y!Ps5O(` Om~$q$x0   
session_start
();
}`hJx*HaH4U0   
//  声明一个名为 admin 的变量,并赋空值。 PHPChina 开源社区门户9n!rl/o C)srH
   
$_SESSION["admin"] = null
;
5Yeo+k/;I!d,EW0
?>

sv4O5h7XTl(a0  如果你使用了 Seesion,或者该 PHP 文件要调用 Session 变量,那么就必须在调用 Session 之前启动它,使用 session_start() 函数。其它都不需要你设置了,PHP 自动完成 Session 文件的创建。PHPChina 开源社区门户}#W|]Sy#z)O4Y
  执行完这个程序后,我们可以到系统临时文件夹找到这个 Session 文件,一般文件名形如:sess_4c83638b3b0dbf65583181c2f89168ec,后面是 32 位编码后的随机字符串。用编辑器打开它,看一下它的内容:
j9rc,gE!@0admin|N;
U]J!G:B{4}9j-Y0一般该内容是这样的结构:PHPChina 开源社区门户A}lc?4j;PQ
变量名|类型:长度:值;PHPChina 开源社区门户.eD_.nI;V;Qg
并用分号隔开每个变量。有些是可以省略的,比如长度和类型。
SkC4B"v�Mhp0  我们来看一下验证程序,假设数据库存储的是用户名和 md5 加密后的密码:
.Dr~2t8`u6hi0F0login.phpPHPChina 开源社区门户s?E!S ?SHb
<?php
8BT~X/G!w�c&t9[0PHPChina 开源社区门户~'GC4I]h.Y
   
//  表单提交后... PHPChina 开源社区门户'DQo#zq5z5B3Tk
   
$posts = $_POST
;
6]P?0}7R/E)@4H0E0   
//  清除一些空白符号
0Crx {6[0   
foreach ($posts as $key => $value
) PHPChina 开源社区门户U8a _EhBz{
    { PHPChina 开源社区门户2Y#me![@2g"sFf%~
        
$posts[$key] = trim($value
); PHPChina 开源社区门户J S#Xfa4TfVL U
    } PHPChina 开源社区门户w]7oF"L
   
$password = md5($posts["password"
]); PHPChina 开源社区门户Iz?#?S)o&xX
   
$username = $posts["username"
];
SHq)c-eTF0PHPChina 开源社区门户C!gmo]
   
$query = "SELECT `username` FROM `user` WHERE `password` = '$password'"
;
6I$J-P*L4A;Al1y,B1K0   
//  取得查询结果
A3M!nbetR:L0   
$userInfo = $DB->getRow($query
);
:CU'R'^L']%G0
!Kb k%H}�QTv+?0    if (!empty(
$userInfo
)) PHPChina 开源社区门户:IKG[`!`*s
    {
Q^k}Q4W2W+[4P0        if (
$userInfo["username"] == $username
)
B%[2h:LXu0        { PHPChina 开源社区门户C*hXKt
            
//  当验证通过后,启动 Session PHPChina 开源社区门户5Z Gm9XG
            
session_start
();
?vRy!/z7l Z |0r u0            
//  注册登陆成功的 admin 变量,并赋值 true PHPChina 开源社区门户1a4xN!gagX?6sy X$L
            
$_SESSION["admin"] = true
;
2Y7ZoDE*h9?'^0        }
wl%iOJFXg!U p0        else PHPChina 开源社区门户-l5Gh``-J[
        {
g8^!Y D Hb?)s4s,gU0            die(
"用户名密码错误"
); PHPChina 开源社区门户e#n#A/O lV
        }
}k/cf-x0    }
VR;cQxL`j0    else PHPChina 开源社区门户.?*d[W(s1}V5W*@
    { PHPChina 开源社区门户)W;H$@U"k/L$^7q
        die(
"用户名密码错误"
); PHPChina 开源社区门户zTz!Ya(C9qJ
    } PHPChina 开源社区门户1@7Q6KnSn

v~}4n|9Z1fE8]w0
?>

e[)lBi])L|0  我们在需要用户验证的页面启动 Session,判断是否登陆:
UZ:i Nvq?+V0<?php
~ ~Q9x"o0m0
6NyK+_)P0   
//  防止全局变量造成安全隐患
WZ7L~,VS)sP0   
$admin = false
; PHPChina 开源社区门户qw'LT ?.E,@I

_ A!@en&[.o3m0   
//  启动会话,这步必不可少
,B.Un%EgA;A_.|s0   
session_start
();
(||0Q}-E+D H*?~3h0PHPChina 开源社区门户O y| o1C^_
   
//  判断是否登陆
c+P(CLj(e&J(hIb0   
if (isset($_SESSION["admin"]) && $_SESSION["admin"] === true
)
|:q:x QYpU'W0E0    { PHPChina 开源社区门户h7hQcg3m2}-F
        echo
"您已经成功登陆"
; PHPChina 开源社区门户2H.PN6B3q @
    }
7E;j]/DO1b^0    else PHPChina 开源社区门户5t!/;S?2zs
    { PHPChina 开源社区门户bLg+y$L-H?B*W?
        
//  验证失败,将 $_SESSION["admin"] 置为 falsePHPChina 开源社区门户 Ev.d4i�t.yI
        
$_SESSION["admin"] = false
;
y&QT"D$xb8J3b8g0        die(
"您无权访问"
); PHPChina 开源社区门户O$J8N)|Ct b;VH
    } PHPChina 开源社区门户)M7o N{!Q*D6C-x7{C#g

#W([GjR(?saZc0
?>
PHPChina 开源社区门户s])|A/D)x

#|qHA q)IY qOS0
  是不是很简单呢?将 $_SESSION 看成是存储在服务器端的数组即可,我们注册的每一个变量都是数组的键,跟使用数组没有什么分别。
]"N|3OQ.P:Q0  如果要登出系统怎么办?销毁 Session 即可。PHPChina 开源社区门户&JR?xbL*i
<?php
gtv$d1JlK0
yK v1_e+f @{-X.H0    session_start
();
+G%@H`Q3o0@T_mSy0   
//  这种方法是将原来注册的某个变量销毁PHPChina 开源社区门户/'h*kb4Ow
   
unset($_SESSION["admin"
]); PHPChina 开源社区门户x"f0h#Rh
PHPChina 开源社区门户O!Cj6Yz
   
//  这种方法是销毁整个 Session 文件PHPChina 开源社区门户&GtVHa
   
session_destroy
();
;Q.R L(edX @] Z5D/x0
Nw'|%t-uG0
?>

],]0k)yaobm0  Session 能否像 Cookie 那样设置生存周期呢?有了 Session 是否就完全抛弃 Cookie 呢?我想说,结合 Cookie 来使用 Session 才是最方便的。PHPChina 开源社区门户"|'B4IV}V%w-bE*?
   Session 是如何来判断客户端用户的呢?它是通过 Session ID 来判断的,什么是 Session ID,就是那个 Session 文件的文件名,Session ID 是随机生成的,因此能保证唯一性和随机性,确保 Session 的安全。一般如果没有设置 Session 的生存周期,则 Session ID 存储在内存中,关闭浏览器后该 ID 自动注销,重新请求该页面后,重新注册一个 Session ID。
c8a:c(Y#R@S�K]0  如果客户端没有禁用 Cookie,则 Cookie 在启动 Session 会话的时候扮演的是存储 Session ID 和 Session 生存期的角色。PHPChina 开源社区门户Yb SBP&Lc0Ja]
  我们来手动设置 Session 的生存期:PHPChina 开源社区门户D0Z7pp.z
<?php PHPChina 开源社区门户Ssgv-Bmqg
    session_start(); PHPChina 开源社区门户Q*Y mS~
   
//  保存一天
8p]Wj%/ J8q0   
$lifeTime = 24 * 3600
;
o c"f(N?$w�R/s.K6_C0   
setcookie(session_name(), session_id(), time() + $lifeTime, "/");

+J8ohI0a8pJB0?>PHPChina 开源社区门户j1|,r)_*nE7RYw
  其实 Session 还提供了一个函数 session_set_cookie_params(); 来设置 Session 的生存期的,该函数必须在 session_start() 函数调用之前调用:
j^2s ]d+_l�u0<?php PHPChina 开源社区门户u6uwbN$/

//~2Ou3ZL:A0   
//  保存一天 PHPChina 开源社区门户1V.lj~5h
   
$lifeTime = 24 * 3600
; PHPChina 开源社区门户 ])W'eG0@(B(Y
   
session_set_cookie_params($lifeTime
);
f/U^A@n0   
session_start
(); PHPChina 开源社区门户"db1m ]2C+f:p
   
$_SESSION["admin"] = true
;
ZX*RT1u'QZ0PHPChina 开源社区门户Ui#e~DsUj
?>

/?UPW9x0
s:V7} B&f}'nE nH3Y0  如果客户端使用 IE 6.0 , session_set_cookie_params(); 函数设置 Cookie 会有些问题,所以我们还是手动调用 setcookie 函数来创建 cookie。
$i^nxP0   假设客户端禁用 Cookie 怎么办?没办法,所有生存周期都是浏览器进程了,只要关闭浏览器,再次请求页面又得重新注册 Session。那么怎么传递 Session ID 呢?通过 URL 或者通过隐藏表单来传递,PHP 会自动将 Session ID 发送到 URL 上,URL 形如:http://www.openphp.cn/index.php?PHPSESSID=bba5b2a240a77e5b44cfa01d49cf9669,其中 URL 中的参数 PHPSESSID 就是 Session ID了,我们可以使用 $_GET 来获取该值,从而实现 Session ID 页面间传递。PHPChina 开源社区门户H(t)yrq:i0x @z
<?php
)W@v:p'yG f0PHPChina 开源社区门户9FD'xk"n+d
   
//  保存一天
){*o*m%I$nT"fn0   
$lifeTime = 24 * 3600
; PHPChina 开源社区门户i7LvV#](e�R{5a�w(V
   
//  取得当前 Session 名,默认为 PHPSESSID PHPChina 开源社区门户3o4_b s!W/@
   
$sessionName = session_name
(); PHPChina 开源社区门户8PrS8TIk
   
//  取得 Session ID
j7`)K{Js2M0   
$sessionID = $_GET[$sessionName
]; PHPChina 开源社区门户ay'kG&w z n�or
   
//  使用 session_id() 设置获得的 Session ID
"N'J/i&OM/b8M._G.V0   
session_id($sessionID
); PHPChina 开源社区门户7U w(T6|.U Dl
PHPChina 开源社区门户l p�]UTR�J4V*f
   
session_set_cookie_params($lifeTime);
'/^P)eRS-d`JL0   
session_start
(); PHPChina 开源社区门户�]z!J[vaM]g
   
$_SESSION["admin"] = true
; PHPChina 开源社区门户9W&_"tAXY
PHPChina 开源社区门户j(JCG#o*Sq)x
?>

$P![^5D2l�Q;L�E.BM;R0  对于虚拟主机来说,如果所有用户的 Session 都保存在系统临时文件夹里,将给维护造成困难,而且降低了安全性,我们可以手动设置 Session 文件的保存路径,session_save_path()就提供了这样一个功能。我们可以将 Session 存放目录指向一个不能通过 Web 方式访问的文件夹,当然,该文件夹必须具备可读写属性。PHPChina 开源社区门户O]:R1N#Jw)}a
<?php
|:J_'dB3q_0
PHPChina 开源社区门户9Z`/iQn^E3?-i
   
//  设置一个存放目录 PHPChina 开源社区门户,W8KN%_t
   
$savePath = "./session_save_dir/"
;
,~TbOdV M*nd0   
//  保存一天 PHPChina 开源社区门户4eEgi0M-W4E'ZPkW
   
$lifeTime = 24 * 3600
; PHPChina 开源社区门户C/Xq9`h(N
   
session_save_path($savePath
); PHPChina 开源社区门户F3O6j;?6moo6t0j;FU
   
session_set_cookie_params($lifeTime
); PHPChina 开源社区门户-F*VXfkn
   
session_start
(); PHPChina 开源社区门户Qgu(e$m*M _`1u/?
   
$_SESSION["admin"] = true
;
p%|9BaN+n;q_'/,u0PHPChina 开源社区门户9Km/v4A$Uc
?>

WwnH_a V6J0  同 session_set_cookie_params(); 函数一样,session_save_path() 函数也必须在 session_start() 函数调用之前调用。
~ {M'qi?L�z#V0  我们还可以将数组,对象存储在 Session 中。操作数组和操作一般变量没有什么区别,而保存对象的话,PHP 会自动对对象进行序列化(也叫串行化),然后保存于 Session 中。下面例子说明了这一点:
*P5L{&C,`0person.php
^'t7ZU5A8@!Iw0<?php PHPChina 开源社区门户7OpH+J$N"ke
   
class
person PHPChina 开源社区门户|�i/q�bC
   
{
s/utLo#g#Nh0        var
$age
;
'Y%//&kG,LV:y0        function
output
() { PHPChina 开源社区门户P}F[/vY&n7`U[
            echo
$this->age
;
u%QZ C bIz4?0        }
Gb6`6e.y-C-m0      
x||Tut0        function
setAge($age
) { PHPChina 开源社区门户*PUbI/y3x
            
$this->age = $age
;
@U*D�DJ0        } PHPChina 开源社区门户&xcP)z,B�k
    } PHPChina 开源社区门户,biE9E6f+J
?>

jm6?g;eO+A0setage.php
:Y}�|3S.?2u1_0<?php
ya!U*t7np0PHPChina 开源社区门户7h9F r~%i#V9h
    session_start
();
w$S~/i)I/|B�Bp0    require_once
"person.php"
;
b"PEjqJw/WM0   
$person = new person
();
!T~5H(@?1D6u4R0   
$person->setAge(21
); PHPChina 开源社区门户i~+[.x {b5ES8i6{M
   
$_SESSION['person'] = $person
;
0[.MS(H2DCoS|0    echo
"<a href='output'>check here to output age</a>"
; PHPChina 开源社区门户uetg!?+J?
PHPChina 开源社区门户@P7dLM/$C
?>
PHPChina 开源社区门户)R3C2x I4u5wS
output.php
/UG8k3p#W6E5F0<?
H�Wp0g:zVg;K:n{-w0
}#r6a%j2]0   
// 设置回调函数,确保重新构建对象。 PHPChina 开源社区门户M#z8s2~)ky i�k/�c
   
ini_set('unserialize_callback_func', 'mycallback'
); PHPChina 开源社区门户B0u5SJ/]zf:D
    function
mycallback($classname
) {
9y)X,`)I@$G!w0        include_once
$classname . ".php"
;
J*h_.L/Io?0    } PHPChina 开源社区门户q I Fj�P
   
session_start();
PHPChina 开源社区门户 J[t m|sbO#_
   
$person = $_SESSION["person"];
#o-Z$xs�G @c0   
//  输出 21 PHPChina 开源社区门户 /-o_r]
   
$person->output
(); PHPChina 开源社区门户om/ W7L+O B
PHPChina 开源社区门户uY0_-jt)d
?>

1@ H0YGSZ*}0  当我们执行 setage.php 文件的时候,调用了 setage() 方法,设置了年龄为 21,并将该状态序列化后保存在 Session 中(PHP 将自动完成这一转换),当转到 output.php 后,要输出这个值,就必须反序列化刚才保存的对象,又因为在解序列化的时候需要实例化一个未定义类,所以我们定义了以后回调函数,自动包含 person.php 这个类文件,因此对象被重构,并取得当前 age 的值为 21,然后调用 output() 方法输出该值。
'SI#g8is(v"DsQ0  另外,我们还可以使用 session_set_save_handler 函数来自定义 Session 的调用方式。
%Aa/Z%Y8p1[*U0  认识水平有限,本文难免有错误之处,敬请指正。PHPChina 开源社区门户|d S/n"b
trackback:http://www.zqsjz.com/bbs/redirect.php?tid=564&goto=lastpostPHPChina 开源社区门户�F6e8A~H9X6Z

 

PHP会话——session 时间设定使用入门

来源:不详(chinaz上面也是转载的饿) 核心提示:在PHP开发中对比起Cookie,Session 是存储在服务器端的会话,相对安全,并且不像 Cookie 那样有存储长度限制,...

PHP 会话(session 时间设定)使用入门

PHP 会话(session 时间设定)使用入门 在PHP开发中对比起Cookie,Session 是存储在服务器端的会话,相对安全,并且不像 Cookie 那样有存储长度限制,本文简单介绍 Ses...

PHP会话(Session)使用入门

转载自:http://wenku.baidu.com/view/d0ca42d333d4b14e85246846.html### 对比起 Cookie,Session 是存储在服务器端的会话,相...

php中上传图片文件,并且以上传时的时间戳命名文件,并将文件的路径存在session中以便使用。

html代码:

php中精确控制session超时时间

  • 2015年01月17日 11:07
  • 39KB
  • 下载

cookie+session,会话时间设定

很多Web程序中第一次登录后,在一定时间内(如2个小时)再次访问同一个Web程序时就无需再次登录,而是直接进入程序的主界面(仅限于本机)。 实现这个功能关键就是服务端要识别客户的身份。而用Cooki...

设定tomcat中session过期时间.txt

  • 2013年01月03日 11:59
  • 1KB
  • 下载

PHP中使用会话控制(cookie & session)

1、什么是会话控制 HTTP是一种无状态协议,它的内部没有一个内建机制来维护两个事务之间的状态。当一个用户在请求一个页面后再请求另一个页面,HTTP将无法告诉我们这两个请求时来自同一个用户。 会话控制...

PHP会话Session的具体使用方法解析

PHP会话Session的御用比起Cookie来说相对要更安全一些,而且没有数据长度的限制  。我们今天就向大家介绍有关PHP会话Session一些相关知识,以加深民大家对PHP会话Session的认...

php中session过期时间设置

php中session过期时间设置 网上很多人给出了解答:修改配置文件中的session.gc_maxlifetime。如果想了解更多session回收机制,继续阅读。(本文环境php5.2) ...
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:PHP 会话 (session 时间设定) 使用入门
举报原因:
原因补充:

(最多只允许输入30个字)