phpsession:PHP中如何保持SESSION以及由此引发的一些研究--转

最新推荐文章于 2024-11-02 10:26:46 发布

zf213

最新推荐文章于 2024-11-02 10:26:46 发布

阅读量1k

点赞数

分类专栏： PHP 文章标签： session php 服务器存储负载均衡远程登录

PHP 专栏收录该内容

77 篇文章 0 订阅

订阅专栏

最近个项目里面有个比较大表单用户完成它需要很多时间很多用户花了千辛万苦完成的后提交发现SESSION过期系统退出了所以引起了研究如何设置SESSION以及保持SESSION在线需要下面是些心得体会体会

什么是SESSION？

按照WIKI 解释 SESSION是存在于两个通信设备间交互信息在某时间建立经过定时间后失效常见 SESSION有:TCP SESSION、WEB SESSION(HTTP SESSION)、LOGIN SESSION等
根据OSI模型中会话实现位置区别 SESSION主要分为几种种是应用层会话包括WEB SESSION(HTTP　SESSION)和telnet远程登录session；会话层实现包括Session Initiation Protocol(SIP)和Internet Phone Call；在传输层实现有TCP　SESSION
本文主要讨论WEB SESSION 其般有两种:客户端SESSION和服务器端SESSION 后种最常见属于Java Beans提供

SESSION是做什么？

在计算机领域特别是网络方面 SESSION使用特别广泛也可以称为是对话(Dialogue)、会话等般是指在两个通信设备间存储状态有时也发生在用户和计算机的间(Login　SESSION)
区别于无状态通信 SESSION通常用来存储通信状态因此通信双方至少有方需要存储SESSION 历史记录从而实现两者间通信

SESSION(WEB　SESSION)是如何实现？

浏览器和服务器的间进行HTTP通信时通常会包含个　HTTP Cookie 来标识状态通常会有个唯　SESSIONID　 SESSION通常记录着用户些验证信息和级别
在几中编程语言中最常用 Http Session Token是 JSESSIONID(JSP) PHPSESSID(PHP) ASPSESSIONID(ASP) 这个标识通常由哈希产生能够唯表示这个用户身份在服务器和客户端通信时作为GET或者POST 参数存储在客户端
SESSION 实现方式通常有两种服务器端SESSION和客户端SESSION 两种方式各有优缺点

服务器端SESSION实现容易并且效率比较高但是遇到负载均衡或者高可用性需求时候处理起来就比较困难对于那种内生系统不存在存储设备时候也是不可用负载均衡可以通过共享文件系统或者强制客户只能登录到台服务器上来实现但是这样会降低效率对于没有存储设备也可以通过使用RAM(参考参考资料6)来解决服务器端SESSION 实现这种思路方法这对哪些客户端链接有限系统有效(诸如路由或者接入点设备)
客户端SESSION 使用可以解决服务器端SESSION 些问题比如避免了负载均衡算法等但是同时也会产生些自身问题客户端SESSION使用Cookie和加密技术来在区别请求间保存状态在每个动态页面结束后会统计当前 SESSION 并把它发回客户端每次成功请求后会把cookie再发送到服务器端来让服务器“记起”这个用户身份客户端SESSION最重要问题就是安全问题旦cookie被劫持或者篡改了用户信息安全性就丧失了

PHP中如何设置SESSION？

搭建好PHP 开发环境后通过phpinfo 可以查看到和SESSION有关部分包括:
SESSION模块在PHP V5.2.9版本中共有25个变量其中平时设置中常会用到几个有:
session.cookie_l etime 设置存储SESSIONID cookie过期时间
session.name SESSION COOKIE名称默认为PHPSESSID
session.save_handler SESSION 存储方式默认为FILE
session.save_path Fedora下面默认存储在/var/lib/php/session

session.gc_probability
session.gc_divisor
session.gc_maxl etime 这 3个选项用来处理GC机制发生机率

session.cache_limiter (nocache,private,private_no_expire,public)
session.cache_expire 这两个选项是用来缓存CacheSESSION 页面

先来考虑第个问题 SESSION多久会过期他是如何过期？如果要在PHP 中使用SESSION 定要先引用session_start 这个执行就会在SESSION 存储目录(如果使用了file handler)生成个SESSION文件里面内容是空同时浏览器会见里个name为PHPSESSID cookie 里面存储着个hash出来 SESSION 名字
SESSION 过期依赖于个垃圾回收机制(Garbage Collection) SESSION创建后作为个文件存放在服务器上客户端脚本每访问次SESSION中变量 SESSION文件访问时间就会进行更新每次访问都是根据客户端存储 SESSIONID去请求服务器中存储唯 SESSION 当客户端 cookie过期后就无法知道要访问是哪个SESSION 尽管此时服务器上 SESSION文件还没有被过期收回这样就会造成服务器资源浪费
但是同时如果我们希望用户 session马上过期话我们就可以通过设置cookie 办法来实现 SESSION 回收是在每次访问页面时候进行回收机率由session.gc_probability session_gc_divisor指定默认士1/100 如果设置为1 则每次超过了SESSION 生存周期去访问话 SESSION 定会被回收

两种需求:1、保持SESSION不过期或延长SESSION过期时间；2、使SESSION立即过期
1、保持SESSION不过期和延长SESSION过期时间非常必要特别是在内部应用系统中或者有很大表单时候想想你老板在填写个表单刚好碰上午饭时间留着这个表单等吃饭回来填写完剩余内容提交后他看到什么般来说都是个登录界面想要提高用户体验关键是要让老板表单不出问题我们就必须延长SESSION 生存周期
保持SESSION不过期和延长SESSION过期时间可以通过设置session.gc_maxl etime来实现不过首先需要保证客户端 cookie不会在gc执行回收的前失效通过设置个较长 gc_maxl etime可以实现延长session 生存周期可是对于不是所有请求都会保持很久应用来说这么做对于服务器配置显然不是个最佳选择
我们知道SESSION 回收机制是根据SESSION文件最后访问时间来判断如果超过了maxl etime 则根据回收机率进行回收所以我们只需要定期去访问下SESSION就可以了而这可以通过刷新页面来实现根据这个思路解决思路方法就有了
通过JS定期去访问页面；
利用Iframe定期刷新页面；
直接利用发送HTTP请求这样就可以避免在页面中嵌入其他元素；

下面是利用JS发送请求实现保持SESSION不过期实现思路方法这样我们就只需要在需要SESSION保持长时间页面(比如大表单页面)
<script type="text/javascript">
function keepMeAlive(imgName){
myImg = document.getElementById(imgName);
(myImg) myImg.src = myImg.src.replace(//?.*$/, '?' + Math.random );
}

window. Interval("keepMeAlive('phpImg');", 4000);
</script>
<img id="phpImg" src="http://www.phpplot.com/phpplot/session/sess_refresh.php?" width="1" height="1" />
其中URL后加入个随机数是为了避免这个链接请求被浏览器缓存Cache

2、使SESSION立即过期思路方法就比较多了我们可以session_destroy 也可以用上面思路请求个session_destroy 页面

SESSION安全吗？

PHP 手册中明确写出:SESSION并不能保证储存在SESSION中信息定只能被他创建者所看到
如果想要安全处理些远程操作那么HTTPS是唯选择最基本不要认为个用户信息在SESSION中存在就认为这个用户定就是他本人虽然SESSION中信息会给你他已经经过了用户名和密码验证假象所以如果需要做些修改密码或者类似事情时候让用户重新输入密码是个比较好选择
早期 Apache版本并没有采用COOKIE 方式来存储PHPSESSID 而是采用 URL-rewrite 也就是每个URL后面都会加上PHPSESSID=<sessionid>来表明它属于那个激活 SESSION 新版 Apache已经将这个属性设置为默认关闭
session.use_trans_id = 0;

所以从这个意义上来讲延长SESSION 时间过长或者保持SESSION 直在线对于安全来说始终不是件好事情终极解决办法就是用户提交跳转到登录窗口登录后又能够回到填写页面并且所有数据都还在这个实现方式现在用Ajax来解决应该没什么困难每隔定时间就把当前用户数据POST到个存储位置不管是XML或者JSON

拾遗:

对于客户端不支持JavaScript 情况可以采用思路方法:
1、写个浮层显示在最顶层如果用户未禁用JS 则让浮层消失；
2、将所有 INPUT都设置为disable 然后再用JS设置为enabled；
以上这两种方式都是在JS被禁用时候所有功能都不能用如何在JS被禁用情况下使我们应用仍然正常工作这个貌似就比较困难实现这个所花时间和所收到效果大家要权衡下