Session定义

最新推荐文章于 2022-03-09 23:36:41 发布

kzrl

最新推荐文章于 2022-03-09 23:36:41 发布

阅读量2.5k

点赞数

分类专栏： php

php 专栏收录该内容

14 篇文章 0 订阅

订阅专栏

Session直接翻译成中文比较困难，一般都译成时域。在计算机专业术语中，Session是指一个终端用户与交互系统进行通信的时间间隔，通常指从注册进入系统到注销退出系统之间所经过的时间。以及如果需要的话，可能还有一定的操作空间。

具体到Web中的Session指的就是用户在浏览某个网站时，从进入网站到关闭浏览器所经过的这段时间，也就是用户浏览这个网站所花费的时间。因此从上述的定义中我们可以看到，Session实际上是一个特定的时间概念。

需要注意的是，一个Session的概念需要包括特定的客户端，特定的服务器端以及不中断的操作时间。A用户和C服务器建立连接时所处的Session同B用户和C服务器建立连接时所处的Session是两个不同的Session。

session的工作原理

（1）当一个session第一次被启用时，一个唯一的标识被存储于本地的cookie中。

（2）首先使用session_start()函数， PHP从session仓库中加载已经存储的session变量。

（3）当执行PHP脚本时，通过使用session_register()函数注册session变量。

（4）当PHP脚本执行结束时，未被销毁的session变量会被自动保存在本地一定路径下的session库中，这个路径可以通过php.ini文件中的session.save_path指定，下次浏览网页时可以加载使用。

使用方法

Session 是用于保持状态的基于 Web 服务器的方法。Session 允许通过将对象存储在 Web服务器的内存中在整个用户会话过程中保持任何对象。

Session 通常用于执行以下操作

存储需要在整个用户会话过程中保持其状态的信息，例如登录信息或用户浏览 Web应用程序时需要的其它信息。

存储只需要在页重新加载过程中或按功能分组的一组页之间保持其状态的对象。

Session 的作用就是它在 Web服务器上保持用户的状态信息供在任何时间从任何设备上的页面进行访问。因为浏览器不需要存储任何这种信息，所以可以使用任何浏览器，即使是像 Pad 或手机这样的浏览器设备。

持久性方法的限制

随着越来越多用户登录，Session 所需要的服务器内存量也会不断增加。

访问 Web应用程序的每个用户都生成一个单独的 Session 对象。每个 Session 对象的持续时间是用户访问的时间加上不活动的时间。

如果每个 Session 中保持许多对象，并且许多用户同时使用 Web应用程序（创建许多 Session），则用于 Session 持久性的服务器内存量可能会很大，从而影响了可伸缩性。

如果要登出系统怎么办?销毁 session 即可。

<?php

session_start();

// 这种方法是将原来注册的某个变量销毁

unset($_SESSION["admin"]);

// 这种方法是销毁整个 session 文件

session_destroy();

释放当前在内存中已经创建的所有$_SESSION变量，但不删除session文件以及不释放对应的session id [2]

<?php

session_start();

session_unset();

session_destroy();

session_write_close();

setcookie(session_name(),'',0,'/');

session_regenerate_id(true);

session_destroy()

删除当前用户对应的session文件以及释放session id，内存中的$_SESSION变量内容依然保留

因此，释放用户的session所有资源，需要顺序执行如下代码：

<?php

$_SESSION['user'] = ‘user1′;

session_unset();

session_destroy();

其实 Session 还提供了一个函数 session_set_cookie_params(); 来设置 Session 的生存期的，该函数必须在 session_start() 函数调用之前调用：

// 保存一天

<?php

$lifeTime = 24 * 3600;

session_set_cookie_params($lifeTime);

session_start();

$_session["admin"] = true;

如果客户端使用 IE 6.0 ， session_set_cookie_params(); 函数设置 Cookie 会有些问题，所以我们还是手动调用 setcookie函数来创建 cookie。

假设客户端禁用 Cookie 怎么办?没办法，所有生存周期都是浏览器进程了，只要关闭浏览器，再次请求页面又得重新注册 Session。那么怎么传递 Session ID 呢?通过 URL 或者通过隐藏表单来传递，PHP 会自动将 session ID 发送到 URL 上，URL 形如：?PHPSESSID=bba5b2a240a77e5b44cfa01d49cf9669，其中 URL 中的参数 PHPSESSID 就是 Session ID了，我们可以使用 $_GET 来获取该值，从而实现 session ID 页面间传递。

// 保存一天

<?php

$lifeTime = 24 * 3600;

// 取得当前 session 名，默认为 PHPSESSID

$sessionName = session_name();

// 取得 session ID

$sessionID = $_GET[$sessionName];

// 使用 session_id() 设置获得的 session ID

session_id($sessionID);

session_set_cookie_params($lifeTime);

session_start();

$_session["admin"] = true;

对于虚拟主机来说，如果所有用户的 Session 都保存在系统临时文件夹里，将给维护造成困难，而且降低了安全性，我们可以手动设置 Session 文件的保存路径，session_save_path()就提供了这样一个功能。我们可以将 session 存放目录指向一个不能通过 Web 方式访问的文件夹，当然，该文件夹必须具备可读写属性。

<?php

// 设置一个存放目录

$savePath = "./session_save_dir/";

// 保存一天

$lifeTime = 24 * 3600;

session_save_path($savePath);

session_set_cookie_params($lifeTime);

session_start();

$_session["admin"] = true;

同 session_set_cookie_params(); 函数一样，session_save_path() 函数也必须在 session_start() 函数调用之前调用。

我们还可以将数组，对象存储在 session 中。操作数组和操作一般变量没有什么区别，而保存对象的话，PHP 会自动对对象进行序列化(也叫串行化)，然后保存于 session 中。下面例子说明了这一点：

<?php

class person

{

var $age;

function output() {

echo $this->age;

}

function setAge($age) {

$this->age = $age;

}

setage.PHP

<?php

session_start();

require_once "person.PHP";

$person = new person();

$person->setAge(21);

$_session['person'] = $person;

echo "check here to output age";

output.PHP

<?php

// 设置回调函数，确保重新构建对象。

ini_set('unserialize_callback_func','mycallback');

function mycallback($classname) {

$classname . ".PHP";

}

session_start();

$person = $_session["person"];

// 输出 21

$person->output();

当我们执行 setage.php 文件的时候，调用了 setage() 方法，设置了年龄为 21，并将该状态序列化后保存在 session 中(PHP 将自动完成这一转换)，当转到 output.php 后，要输出这个值，就必须反序列化刚才保存的对象，又因为在解序列化的时候需要实例化一个未定义类，所以我们定义了以后回调函数，自动包含 person.PHP 这个类文件，因此对象被重构，并取得当前 age 的值为 21，然后调用 output() 方法输出该值。

如何防止session超时

众所周知，当用户登录网站后较长一段时间没有与服务器进行交互，将会导致服务器上的用户会话数据(即session)被销毁。此时，当用户再次操作网页时，如果服务器进行了session校验，那么浏览器将会提醒用户session超时。

那么，如何解决用户登录后较长时间未操作而导致的session失效的问题呢？ [3]

导致这个问题的关键词有两个：一个是「长时间」，一个是「未操作」。
　　1、如果用户未操作的「长时间」超过了服务器配置的session超时时间，并导致session失效，那么我们延长session的超时时间，让用户原来的「长时间」与超时时间相比，变得不「长」，不就可以解决了吗？
　　2、如果用户是长时间「未操作」导致session失效，那么我们想办法产生「操作」，让用户每隔一小段时间就「操作」一次，与服务器产生交互，那么session自然也不会失效。一般情况下下，我们首先想到的是，通过改变服务器的配置，延长服务器的session超时时间。例如，在Tomcat服务器的web.xml文件中有如下节点内容：

<session-config><session-timeout>30</session-timeout></session-config>

这里的30表示session的超时时间，单位为分钟，如果用户登录后在30分钟内没有与服务器交互，那么当前用户的session将失效。我们可以配置一个更大的数值(比如60)，就可以延长session的超时时间，如果将该值改为0或负数的话，则表示session永不失效。

不过在实际的工作应用中，一味地上调session的超时时间设置并不怎么常见，大多数需要实现该功能的网站都将解决问题的焦点集中在第二条思路上。例如：一些在线网站均采用定时刷新页面的方法来防止session超时。

定时刷新页面，最常见的有两种实现方式：一种是通过JavaScript+HTMLDOM，另一种则是通过meta标签来实现。

1、JavaScript+HTMLDOM，示例代码如下：

 
          functionrefresh(seconds){ 
         
          setTimeout( 
          "self.location.reload()" 
          ,seconds*1000); 
         
          } 
         
          refresh(600); 
          //调用方法启动定时刷新，数值单位：秒。

2、通过meta标签来实现（在页面中添加meta标签refresh也可以指定每隔指定时间就刷新当前页面），示例代码如下：

 
     
          < 
          metahttp-equiv 
          = 
          "refresh" 
          content 
          = 
          "600" 
          /> 
         
 
   

上述meta标签可以实现每过600秒就刷新一次当前页面。

在上述两种方案中，较好的为第二种，因为如果当前页面是在IE浏览器的模式窗口中打开的，默认情况下，self.location.reload()方法将会失效，而refreshmeta标签在IE模式窗口下仍然有效。

上述两种方式都实现了刷新当前页面，并且使用起来非常简单，不过很遗憾的是，它们存在一种几乎致命的缺陷。试想一下，如果在论坛发帖等需要用户输入内容的页面，用户花费较长的时间输入了许多文本内容，可是突然遇到了一个定时页面刷新，结果用户输入的所有内容都没了，估计这个时候用户连掐死你的心都有了……

因此我们需要在当前页面本身不刷新、不影响用户的任何操作的情况下实现定时刷新。最常见的解决方法仍然有两种。一种是在当前页面添加一个隐藏的iframe，然后在该iframe里面实现定时刷新。

 
     
          < 
          iframeid 
          = 
          "hidden_iframe" 
          style 
          = 
          "display:none;" 
          scrolling 
          = 
          "no" 
          frameborder 
          = 
          "0" 
          name 
          = 
          "hidden_iframe" 
          src 
          = 
          "ping.php" 
          ></ 
          iframe 
          > 
         
 
   

此外，我们需要在服务器上编写对应的请求响应代码，例如ping.php中可以编写如下代码：

 
          <?php 
         
          //每隔600秒刷新当前页面 
         
          echo 
          '<html><head><metahttp-equiv="refresh"content="600"/></head><body></body></html>' 
          ; 
         
          ?>

另外一种则是使用JavaScriptImage对象来实现定时刷新，JavaScript代码如下：

 
          functionautoRefresh(seconds){ 
         
          if 
          (typeofperiod== 
          "undefined" 
          ){ 
          //如果是第一次执行 
         
          period=seconds*1000; 
          //定义全局变量period 
         
          varbodyDOM=document.getElementsByTagName( 
          "body" 
          )[0]; 
         
          if 
          (bodyDOM){ 
         
          bodyDOM.innerHTML+= 
          '<imgid="auto_refresh_img"src=""style="display:none"/>' 
          ; 
          //添加隐藏的图片 
         
          imgDOM=document.getElementById( 
          "auto_refresh_img" 
          ); 
          //定义全局Image对象 
         
          } 
         
          } 
         
          if 
          (typeofimgDOM!= 
          "undefined" 
          ){ 
         
          imgDOM.src= 
          "ping.php?sid=" 
          +newDate().getTime(); 
          //防止缓存 
         
          setTimeout( 
          "autoRefresh(" 
          +seconds+ 
          ")" 
          ,period); 
         
          } 
         
          } 
         
          autoRefresh(600); 
          //调用方法启动定时刷新

和使用iframe来实现定时刷新一样，使用JavaScriptImage对象实现定时刷新，也需要在服务器端编写类似的请求响应代码。服务器的响应可以是文字等非图片内容，非图片内容只会造成图像加载失败，而我们的图像标签本身就是隐藏的，不管是加载成功还是失败都不会显示，毕竟我们的主要目的是发送请求给服务器，让服务器保持session处于活动状态。

当然，还可以使用Ajax来实现定时刷新，不过使用Image对象会更好一些，因为有些老式浏览器的JavaScript无法实现Ajax，但是却可以使用Image对象。此外，使用Ajax需要编写更多的代码来处理XMLHttpRequest等对象的活动。

在上述两种方式中，各有其优缺点。

使用iframe标签实现定时刷新的优点是：不需要编写JavaScript代码，可以在浏览器禁用JavaScript的情况下实现定时刷新；其缺点是：在某些不支持iframe标签的老式浏览器中没有效果，此外，iframe 标签在浏览器中新增加了一个独立的页面，即使没有显示出来，不过其内部解析的window、document等对象仍然存在，占用的浏览器内存相对较多。

使用Image对象的优点是：与iframe相比，占用的内存相对较少，支持Image的浏览器也相对较多(现代浏览器均支持)；缺点是：在浏览器禁用JavaScript的情况下就毫无用武之地了。

开发人员应根据实际需求情况来确定使用何种实现方式更好。此外，服务器在响应定时刷新的请求时，在满足要求的情况下，应返回尽可能少的数据，以节省带宽。

有效期

编辑

PHP中的session有效期默认是1440秒（24分钟）【weiweiok 注：php5里默认的是180分】，也就是说，客户端超过24分钟没有刷新，当前session就会失效。很明显，这是不能满足需要的。

一个已知管用的方法是，使用session_set_save_handler，接管所有的session管理工作，一般是把session信息存储到数据库，这样可以通过SQL语句来删除所有过期的session，精确地控制session的有效期。这也是基于PHP的大型网站常用的方法。但是，一般的小型网站，似乎没有必要这么劳师动众。

但是一般的Session的生命期有限，如果用户关闭了浏览器，就不能保存Session的变量了！那么怎么样可以实现Session的永久生命期呢？

大家知道，Session储存在服务器端，根据客户端提供的SessionID来得到这个用户的文件，然后读取文件，取得变量的值，SessionID可以使用客户端的Cookie或者Http1.1协议的Query_String（就是访问的URL的“?”后面的部分）来传送给服务器，然后服务器读取 Session的目录……

要实现Session的永久生命期，首先需要了解一下php.ini关于Session的相关设置（打开php.ini文件，在“[Session]”部分）：

1、session.use_cookies：默认的值是“1”，代表SessionID使用Cookie来传递，反之就是使用Query_String来传递；

2、session. name：这个就是SessionID储存的变量名称，可能是Cookie，也可能是Query_String来传递，默认值是“PHPSESSID”；

3、session.cookie_lifetime：这个代表SessionID在客户端Cookie储存的时间，默认是0，代表浏览器一关闭SessionID就作废……就是因为这个所以Session不能永久使用！

4、session.gc_maxlifetime：这个是Session数据在服务器端储存的时间，如果超过这个时间，那么Session数据就自动删除！

功能缺陷

编辑

目前ASP的开发人员都正在使用Session这一强大的功能，但是在他们使用的过程中却发现了ASP Session有以下缺陷：

进程依赖性

ASP Session状态存于IIS的进程中，也就是 inetinfo.exe这个程序。所以当inetinfo.exe进程崩溃时，这些信息也就丢失。另外，重起或者关闭IIS服务都会造成信息的丢失。

Session状态使用范围的局限性

当一个用户从一个网站访问到另外一个网站时，这些Session信息并不会随之迁移过去。例如：新浪网站的WWW 服务器可能不止一个，一个用户登录之后要去各个频道浏览，但是每个频道都在不同的服务器上，如果想在这些WWW服务器共享Session信息怎么办呢

Cookie的依赖性

实际上客户端的Session信息是存储在Cookie中的，如果客户端完全禁用掉了Cookie功能，他也就不能享受到了Session提供的功能了。

鉴于ASP Session的以上缺陷，微软的设计者们在设计开发 ASP .NET Session时进行了相应的改进，完全克服了以上缺陷，使得ASP .NET Session成为了一个更加强大的功能。

kzrl

关注

0
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
Session定义

Session直接翻译成中文比较困难，一般都译成时域。在计算机专业术语中，Session是指一个终端用户与交互系统进行通信的时间间隔，通常指从注册进入系统到注销退出系统之间所经过的时间。以及如果需要的话，可能还有一定的操作空间。具体到Web中的Session指的就是用户在浏览某个网站时，从进入网站到关闭浏览器所经过的这段时间，也就是用户浏览这个网站所花费的时间。因此从上述的定义中我们可以看
复制链接

扫一扫