PHP session使用經驗匯總_PHP教程

什麼是session

Session 的中文譯名叫做“會話”，其本來的含義是指有始有終的一系列動作/訊息，比如打電話時從拿起電話撥號到掛斷電話這中間的一系列過程可以稱之為一個 session。目前社會上對 session 的理解非常混亂：有時候我們可以看到這樣的話“在一個瀏覽器會話期間，...”，這裡的會話是指從一個瀏覽器視窗開啟到關閉這個期間； 也可以看到“使用者（用戶端）在一次會話期間”這樣一句話，它可能指使用者的一系列動作（一般情況下是同某個具體目的相關的一系列動作，比如從登入到選購商品到結賬登出這樣一個網上購物的過程；然而有時候也可能僅僅是指一次串連；其中的差別只能靠上下文來推斷了。

然而當 session 一詞與網路通訊協定相關聯時，它又往往隱含了“連線導向”和/或“保持狀態”這樣兩個含義，“連線導向”指的是在通訊雙方在通訊之前要先建立一個通訊的渠道，比如打電話，直到對方接了電話通訊才能開始。“保持狀態”則是指通訊的一方能夠把一系列的訊息關聯起來，使得訊息之間可以互相依賴，比如一個服務員能夠認出再次光臨的老顧客並且記得上次這個顧客還欠店裡一塊錢。這一類的例子有“ 一個TCP session ”或者“一個 POP3 session”。

鑒於這種混亂已不可改變，要為 session 下個定義就很難有統一的標準。而在閱讀 session 相關資料時，我們也只有靠上下文來推斷理解了。不過我們可以這樣理解：例如我們打電話，從撥通的那一刻起到掛斷電話期間，因為電話一直保持著接通的狀態，所以把這種接通的狀態叫做 session。它是訪客與整個網站互動過程中一直存在的公有變數，在用戶端不支援 COOKIE 的時候，為了保證資料正確、安全，就採用 SESSION 變數。訪問網站的來客會被分配一個唯一的標識符，即所謂的會話 ID。它要麼存放在用戶端的 cookie，要麼經由 URL 傳遞。

SESSION 的發明填補了 HTTP 協議的局限：HTTP協議被認為是無狀態協議，無法得知使用者的瀏覽狀態，當它在服務端完成響應之後，伺服器就失去了與該瀏覽器的聯絡。這與HTTP協議本來的目的是相符的，用戶端只需要簡單的向伺服器請求下載某些檔案，無論是用戶端還是伺服器都沒有必要紀錄彼此過去的行為，每一次請求之間都是獨立的，好比一個顧客和一個自動售貨機或者一個普通的（非會員制）大賣場之間的關係一樣。

因此通過SESSION(cookie是另外一種解決辦法)記錄使用者的有關資訊，以供使用者再次以此身份對web伺服器提起請求時作確認。會話的發明使得一個使用者在多個頁面間切換時能夠儲存他的資訊。網站編程人員都有這樣的體會，每一頁中的變數是不能在下一頁中使用的(雖然form，url也可以實現，但這都是非常不理想的辦法)，而SESSION中註冊的變數就可以作為全域變數使用了。

那麼 SESSION 到底有什麼用處呢？網上購物時大家都用過購物車，你可以隨時把你選購的商品加入到購物車中，最後再去收銀台結帳。在整個過程中購物車一直扮演著臨時存貯被選商品的角色，用它追蹤使用者在網站上的活動情況，這就是 SESSION 的作用，它可以用於使用者身份認證，程式狀態記錄，頁面之間參數傳遞等。

SESSION 的實現中採用 COOKIE 技術，SESSION 會在用戶端儲存一個包含 session_id(SESSION編號)的 COOKIE；在伺服器端儲存其他 session 變數，比如 session_name 等等。當使用者請求伺服器時也把 session_id 一起發送到伺服器，通過 session_id 提取所儲存在伺服器端的變數，就能識別使用者是誰了。同時也不難理解為什麼 SESSION 有時會失效了。

當用戶端禁用 COOKIE 時(點擊IE中的“工具”—“Internet選項”，在彈出的對話方塊裡點擊“安全”—“自訂層級”項，將“允許每個對話COOKIE”設為禁用)，session_id 將無法傳遞，此時 SESSION 失效。不過 php5 在 linux/unix 平台可以自動檢查 cookie 狀態，如果用戶端設定了禁用，則系統自動把 session_id 附加到 url 上傳遞。windows 主機則無此功能。

Session常見函數及用法

Session_start()：開始一個會話或者返回已經存在的會話。

說明：這個函數沒有參數，且傳回值均為true。如果你使用基於cookie的session(cookie-based sessions)，那麼在使用Session_start()之前瀏覽器不能有任何輸出，否則會發生以下錯誤：

Warning: Cannot send session cache limiter - headers already sent (output started at /usr/local/apache/htdocs/cga/member/1.php:2)…………  

你可以在 php.ini 裡啟動 session.auto_start=1，這樣就無需每次使用 session 之前都要調用 session_start()。但啟用該選項也有一些限制，如果確實啟用了 session.auto_start，則不能將對象放入會話中，因為類定義必須在啟動會話之前載入以在會話中重建對象。

請求結束後所有註冊的變數都會被序列化。登入但未定義的變數被標記為未定義。在之後的訪問中這些變數也未被會話模組定義，除非使用者以後定義它們。

警告：有些類型的資料不能被序列化因此也就不能儲存在會話中。包括 resource 變數或者有循環參考的對象（即某對象將一個指向自己的引用傳遞給另一個對象）。

註冊SESSION變數：

PHP5使用$_SESSION[‘xxx’]=xxx註冊SESSION全域變數。和GET，POST，COOKIE的使用方法相似。

注意：session_register()，session_unregister ，session_is_registered在 php5 下不再使用，除非在 php.ini 裡把register_globle 設為 on，不過出於安全考慮，強烈建議關閉 register_globle。HTTP_SESSION_VARS 也不提倡使用了，官方建議用 $_SESSION 代替之。例如：

Page1.php

通過COOKIE傳遞SESSION';   //如果用戶端支援cookie，可通過該連結傳遞session到下一頁。echo '
通過URL傳遞SESSION';//用戶端不支援cookie時，使用該辦法傳遞session.?>  

Page2.php

返回山一頁';?>  

有兩種方法傳遞一個會話 ID：

一個是cookie，另一個是 URL 參數。

會話模組支援這兩種方法。cookie 更最佳化，但由於不總是可用，也提供替代的方法。第二種方法直接將會話 ID 嵌入到 URL 中間去。PHP 可以透明地轉換串連。除非是使用 PHP 4.2 或更新版本，需要手工在編譯 PHP 時啟用。在 Unix 下，用 --enable-trans-sid 配置選項。如果此配置選項和運行時選項 session.use_trans_sid 都被啟用(修改php.ini)，相對 URI 將被自動修改為包含會話 ID。

• session_id

session_id() 用於設定或取得當前 session_id。php5 中既可以使用 session_id()，也可以通過附加在 url 上的 SID 取得當前會話的 session_id 和 session_name。

如果 session_id() 有具體指定值的話，將取代當前的 session_id 值。使用該函數前必須啟動會話：session_start();

當我們使用 session cookies 時，如果指定了一個 session_id() 值，每次啟動 session_start() 都會往用戶端發送一個cookie 值。不論當前 session_id 是否與指定值相等。

session_id() 如果沒有指定值，則返回當前 session_id();當前會話沒有啟動的話，則返回Null 字元串。

• 檢查 session 是否存在

在以往的 php 版本中通常使用 session_is_register() 檢查 session 是否存在，如果您使用 $_SESSION['XXX']=XXX 來註冊會話變數，則 session_is_register() 函數不再起作用。你可以使用 isset($_SESSION['xxx']) 來替代。

• 更改 session_id

session_regenerate_id() 更改成功則返回 true，失敗則返回 false。使用該函數可以為當前 session 更改 session_id，但不改變當前 session 的其他資訊。例如：

";echo "新的 SessionID: $new_sessionid
";echo"
";print_r($_SESSION);echo"
";?>    

• session_name()

返回當前 session 的 name 或改變當前 session 的 name。如果要改變當前 session 的 name，必須在 session_start() 之前調用該函數。注意：session_name 不能只由數字組成，它至少包含一個字母。否則會在每時每刻都產生一個新的 session id。session 改名樣本：

• 如何刪除session

unset ($_SESSION['xxx']) 刪除單個 session，unset($_SESSION['xxx']) 用來 unregister 一個登入的 session 變數。其作用和 session_unregister() 相同。session_unregister() 在 PHP5 中不再使用，可將之打入冷宮。unset($_SESSION) 此函數千萬不可使用，它會將全域變數 $_SESSION 銷毀，而且還沒有可行的辦法將其恢複。使用者也不再可以註冊 $_SESSION 變數。

$_SESSION=array() 刪除多個 session

session_destroy() 結束當前的會話，並清空會話中的所有資源。該函數不會 unset (釋放)和當前 session 相關的全域變數(globalvariables)，也不會刪除用戶端的 session cookie。PHP 預設的 session 是基於 cookie 的，如果要刪除 cookie 的話，必須藉助 setcookie() 函數。傳回值：布爾值。功能說明：這個函數結束當前的 session，此函數沒有參數，且傳回值均為 true。

session_unset() 如果使用了 $_SESSION，則該函數不再起作用。由於 PHP5 必定要使用 $_SESSION，所以此函數可以打入冷宮了。

下面是 PHP 官方關於刪除 session 的案例：

由此我們可以得出刪除Session的步驟：

1. session_start();
2. $_SESSION=array()/unset($_SESSION['xxx'])
3. session_destroy()

SESSION安全:

會話模組不能保證存放在會話中的資訊只能被建立該會話的使用者看到。根據其存放的資料，還需要採取更多措施來主動保護會話的完整性。

評估會話中攜帶的資料並實施附加保護措施通常要付出代價，降低使用者的方便程度。例如，如果要保護使用者免於受簡單的社交策略侵害（註：指在 URL 中顯示的會話 ID 會被別人在電腦螢幕上看到，或被別的網站通過 HTTP Referer 得到等），則應該啟用 session.use_only_cookies。此情形下，用戶端必須無條件啟用 cookie，否則會話就不工作。

有幾種途徑會將現有的會話 ID 泄露給第三方。泄露出的會話 ID 使第三方能夠訪問所有與指定 ID 相關聯的資源。第一，URL 攜帶會話 ID。如果串連到外部網站，包含有會話 ID 的 URL 可能會被存在外部網站的 Referer 日誌中。第二，較主動的攻擊者可能會偵聽網段的資料包。如果未加密，會話 ID 會以明文方式在網路中流過。對此的解決方式是在伺服器上實施 SSL 並強制使用者使用。

預設情況下，所有與特定會話相關的資料都被儲存在由 INI 選項 session.save_path 指定的目錄下的一個檔案中。對每個會話會建立一個檔案（不論是否有資料與該會話相關）。這是由於每開啟一個會話即建立一個檔案，不論是否有資料寫入到該檔案中。注意由於和檔案系統協同工作的限制，此行為有個副作用，有可能造成使用者定製的會話處理器（例如用資料庫）丟失了未儲存資料的會話。

上面介紹函數下文將會用到，但還有一些有關session的函數也介紹一下：

session_encode函數功能：sesssion資訊編碼函數原型：string session_encode(void);傳回值：字串功能說明：返回的字串中包含全域變數中各變數的名稱與值，形式如：a|s:12:"it is a test";c|s:4:"lala"; a是變數名 s:12代表變數a的值"it is a test的長度是12 變數間用分號”;”分隔。  

session_decode函數功能：sesssion資訊解碼函數原型：boolean session_decode (string data)傳回值：布爾值功能說明：這個函數可將session資訊解碼，成功則返回邏輯值true  

PHP5 不再使用 session_id，而是把它變成一個常量 SID，並儲存在 cookie 中。如果用戶端禁用了 cookie，php 會自動通過 url 自動傳動傳遞 SID，其條件是設定 php.ini 中的 session.use_trans_sid = 1。此時即使用戶端即使禁用了 cookie 也沒關係了。用 strip_tags() 來輸出 SID 以避免 XSS 相關的攻擊。

Session跨頁傳遞問題：

session跨頁傳遞需要考慮三種情況：

1. 用戶端禁用了cookie。
2. 瀏覽器出現問題，暫時無法存取cookie
3. php.ini 中的 session.use_trans_sid = 0 或者編譯時間沒有開啟 --enable-trans-sid 選項

為什麼會這樣呢？下面解釋一下原因：

Session 檔案分為兩部分：session 變數儲存在伺服器端（預設以檔案方式儲存 session）；而 session id 則以 cookie 形式儲存在用戶端。(注意：session 預設是基於 cookie 的)。

當使用者的瀏覽器向伺服器提出請求時，同時發送包含 session id 的 cookie（預設情況下）。伺服器根據用戶端提供的 session id 來得到使用者的檔案，即儲存在伺服器端的 session 變數值。事實上，session id 可以使用用戶端的 Cookie 或者 Http1.1 協議的 Query_String（就是訪問的URL的“?”後面的部分）來傳送給伺服器，然後伺服器讀取 Session 的目錄。也就是說，session id 是取得儲存在服務上的 session 變數的身份證。當代碼 session_start(); 啟動並執行時候，就在伺服器上產生了一個 session 檔案，隨之也產生了與之唯一對應的一個 session id，定義 session 變數以一定形式儲存在剛才產生的 session 檔案中。通過 session id，可以取出定義的變數。跨頁後，為了使用 session，你必須又執行 session_start();將又會產生一個 session 檔案，與之對應產生相應的 session id，用這個 session id 是取不出前面提到的第一個 session 檔案中的變數的，因為這個session id 不是開啟它的“鑰匙”。如果在 session_start(); 之前加代碼 session_id($session id);將不產生新的 session 檔案，直接讀取與這個 id對應的 session 檔案。

PHP 中的 session 在預設情況下是使用用戶端的 Cookie 來儲存 session id 的，所以當用戶端的 cookie 出現問題的時候就會影響session 了。必須注意的是：session 不一定必須依賴 cookie，這也是 session 相比 cookie 的高明之處。當用戶端的 Cookie 被禁用或出現問題時，PHP 會自動把 session id 附著在 URL 中，這樣再通過 session id 就能跨頁使用 session 變數了。但這種附著也是有一定條件的，其一：“php.ini中的session.use_trans_sid = 1 或者編譯時間開啟開啟了 --enable-trans-sid 選項”；其二：運行 PHP 的伺服器必須是 unix/linux 系統，windows 不具備此項功能。

明白了以上的道理，我們就可以得出解決session跨頁傳遞問題的三條途徑：

1. 設定 php.ini 中的 session.use_trans_sid = 1 或者編譯時間開啟開啟了 --enable-trans-sid 選項，讓 PHP 自動跨頁傳遞 session id。
2. 手動通過 URL 傳值、隱藏表單傳遞 session id。
3. 用檔案、資料庫等形式儲存 session_id，在跨頁過程中手動調用。

下面舉例說明：

第一種情況：

page1.php

page2.php

運行以上代碼，在用戶端cookie正常的情況下，應該可以在得到結果“中華人民共和國”。

現在你手動關閉用戶端的cookie，再運行，可能得不到結果了吧。如果得不到結果，再“設定php.ini中的session.use_trans_sid = 1或者編譯時間開啟開啟了--enable-trans-sid選項”，又得到結果“中華人民共和國”。

第二種途徑：

s1.php

s2.php

第三種途徑：

login.html

Login請登入：mylogin1.php";echo "下一頁";?>  

mylogin2.php

http://www.bkjia.com/PHPjc/752527.htmlwww.bkjia.comtruehttp://www.bkjia.com/PHPjc/752527.htmlTechArticle什麼是session Session 的中文譯名叫做“會話”，其本來的含義是指有始有終的一系列動作/訊息，比如打電話時從拿起電話撥號到掛斷電話這...

