Session和Cookie基本介绍
相同点:两者都是保存用户的临时信息,以方便用户和网站之间的交互
不同点:Session保存在服务器端,只有服务器端才可查看和修改。服务器端通过客户端在cookie中携带的session_id来获得保存在服务器端的用户数据。Cookie保存在客户端,服务端和客户端都可以对其进行修改。
Session的工作原理
首先测试如下一段代码
session_start();//开启session
echo ‘Session id:’.session_id().‘
’;//显示此次交互的session_id
?>
页面显示结果为
Session id:ihrk96384qjvvsqmce0dlkla04
即使不停刷新页面,依然不变,说明服务器端是可以识别出客户端,那么它是如何做到的呢?
我们可以查看一下他们的第一次HTTP交互(先清空一次cookie和缓存再测试)
Request Header:
GET /phptest/test2.php HTTP/1.1
Host: localhost
Cookie:
Response Header:
Set-Cookie: PHPSESSID=sastrf9cikeij6meoe3055brq3; path=/
为了说明问题,我只取要用到的信息,从请求头可以看到,这个时候客户端没有给服务端传Cookie内容。而返回的头信息中,服务端指明了set-cookie要设置一个PHPSESSID的内容,保存在”/”目录下。
来看第二次交互:
Request Header:
GET /phptest/test2.php HTTP/1.1
Host: localhost
Cookie:PHPSESSID=sastrf9cikeij6meoe3055brq3
Response Header:
Set-Cookie:
这一次结果显示服务器端没有再要求写Cookie,而客户端主动上传了上次获得的PHPSESSID值,也就是这种机制,使服务端”认识”了客户端。只要服务端没有要求再次写session,则以后的交互将一直以此session_id作为客户端的身份标志。
服务器端修改Session_id
当然session_id不是永久不变的,当我们清空过一次Cookie以后就发现以前登录了的网站都得重新登陆。再次登陆的时候,我们又会以新的 session_id来进行重新确认身份。(注:还有别的方式可以传递session_id值,例如query string等)。
其实从上一个例子中我们就可以看到,服务器端修改session_id其实是通过重写一次cookie来实现的,这次重写发生在一次请求完成以后,即传回的HTTP头中说明的。
为了防止Session劫持,我们可能需要通过每次请求都更改session_id来确保用户是本人登录的。在php中,可以使用以下方式:
session_start();//开启session
echo ‘Old Session id:’.session_id().‘
’;
session_regenerate_id(true);//重置session_id,并使原session无效
echo ‘New Session id:’.session_id().‘
’;
?> 页面显示结果为:
Old Session id:mqk5sfudpu9ikgp49vc825ggo6
New Session id:mrck9n85v190reupsni4ob6lo5
可见session_id在使用了session_regenerate_id()以后发生了变化,变化写入方式同第二点介绍的,服务器端在返回的HTTP头中加入Set-Cookie。
session_regenerate_id()的一个问题
在实际操作中,session_id的保存位置可以通过
session_set_cookie_params()
来修改,如下:
session_set_cookie_params(0,‘/’,‘testdomain’);
session_start();//开启session
echo ‘Old Session id:’.session_id().‘
’;
session_regenerate_id(true);//重置session_id,并使原session无效
echo ‘New Session id:’.session_id().‘
’;
?>
在这种方式下,session_id的默认domain被修改,但是session_regenerate_id()是不识别的。这不知道算不算php的一个bug,为了解决这个问题,我们必须使用手动方式重置session保存,修改代码如下:
session_set_cookie_params(0,‘/’,‘testdomain’);
session_start();//开启session
echo ‘Old Session id:’.session_id().‘
’;
session_regenerate_id(true);//重置session_id,并使原session无效
echo ‘New Session id:’.session_id().‘
’;
setcookie(session_name(),session_id(),0,‘/’,‘testdomain’);//手动更新session_id
?>
这样一来就可以每次交互更新session_id了……虽然有些复杂,但是经测试可行