会话跟踪技术之SESSION

一般来说，登录信息既可以存储在session中，也可以存储在cookie中，他们之间的差别在于session可以方便的存取多种数据类型，而cookie只支持字符串类型，同时对于一些安全性比较高的数据，cookie需要进行格式化与加密存储，而session存储在服务端则安全性较高

一、SESSION操作

1、使用SESSION

在使用PHP session时，一定要在页头加上session_start()，告诉服务器开始使用session了，而且在它之前应该没有任何输出，否则会报错。

# 开始一个会话或者返回已经存在的会话

session_start();

2、设置session

$_SESSION['jack']['name'] = 'jack';

$_SESSION['jack']['height'] = 175;

$_SESSION['jack']['weight'] = 160.00;

$_SESSION['jack']['like'] = ['eat','run','sing','jump'];

$_SESSION['jack']['class'] = new test();

$_SESSION['jack']['null'] = null;

$txt = file_get_contents('hello.txt');

$_SESSION['jack']['res'] = $txt;

class test{

    public function abc(){

        echo 'test';

    }

}

echo '<pre>';

var_dump($_SESSION);

session保存在配置文件（session.save_path）指定的服务器路径中。保存的格式：变量名|类型：长度：值；

3、判断和删除

isset($_SESSION['name']);   // 判断

unset($_SESSION['name']);   //删除

4、销毁session

如果要清空当前用户所有的Session信息可以使用以下代码：

session_destroy();       //销毁session 结束当前会话

二、SESSION的工作原理

用户访问WEB网站的时候，比如请求goods.php;
再运行session_start()时，PHP会给每个访问的用户创建一个session ID
该ID是唯一ID，同时使用该ID命名生成文本文件，在服务器端保存会话数据，
同时在客户机上cookie里存储该ID，
下次用户请求，就会携带该ID，来获取服务器上存储的会话数据

三、SESSION的几个注意点

1、session_start()前的输出

1、使用基于cookie的session时，函数session_start()必须在程序最开始执行,在其前面不能有任何输出内容,否则：

Warning: Cannot send session cache limiter - headers already sent (output started at ...

可以在php.ini里启动session.auto_start=1,这样就无需每次使用session之前都要调用session_start()。但启用该选项也有一些限制，如果确实启用了 session.auto_start，则不能将对象放入会话中，因为类定义必须在启动会话之前加载以在会话中重建对象。

2、session的存储方式

PHP的session默认是通过文件的形式实现的，即存储在服务器端的session文件，每个session一个文件。

文件名形式：sess_jkj7hkfje9klhgop8s0ferascdwedjksjkxj,

内容结构：`变量名 | 类型 |：长度 ： 值；

3、客户端禁用Cookie功能

基于cookie的session更优化，但不总是可用。一旦用户关闭cookie，那么session就不起作用啦！所以接下来我们将要把session的id号放在链接地址上，这样就不怕用户关闭cookie啦！

PHP5在linux平台可以自动检测Cookie状态，如果客户禁用它，则系统自动把sessionId附加到URL上传送。但windows没有此功能

a. login.php

<?php

session_start();

?>

<html>

    <head>

        <title>login</title>

    </head>

    <body>

        <form action="act.php?<?php echo SID;?>" method="post">

            用户名：<input type="text" name="username"><br/>

            密码：<input type="password" name="pass"><br/>

            <input type="submit" name="send" value="login">

        </form>

    </body>

</html>

act.php

if( isset($_GET[session_name()]) ){

    $sid = $_GET[session_name()];

    session_id($sid);

}

session_start();

$_SESSION['name'] = $_POST['username'];

$_SESSION['pass'] = $_POST['pass'];

var_dump($_SESSION);

echo '<a href="logout.php?'.SID.'">退出</a>';

logout.php

if( isset($_GET[session_name()]) ){

    $sid = $_GET[session_name()];

    session_id($sid);

}

session_start();

$_SESSION = [];

setcookie(session_name(),'',time()-1,'/');

session_destroy();

四、SESSION中的几个常用函数

1、session_start() 启动新会话或者重用现有会话

session_start() 会创建新会话或者重用现有会话。如果通过 GET 或者 POST 方式，或者使用 cookie 提交了会话 ID，则会重用现有会话。开启session，并生成session_id,创建服务器端会话数据

要使用基于 cookie 的会话，必须在输出开始之前调用 session_start() 函数。

2、session_name()

session.name设置会话的名称，即在客户端用作cookie的标示符名称。默认值为PHPSESSID

/* 设置会话名称为 WebsiteID */

$previous_name = session_name("WebsiteID");

3、session_id() 获取/设置当前会话 ID

session_id() 返回当前会话ID。如果当前没有会话，则返回空字符串（""）
如果指定了 id 参数的值，则使用指定值作为会话 ID。必须在调用 session_start() 函数之前调用 session_id() 函数
为了能够将会话 ID 很方便的附加到 URL 之后，你可以使用常量 SID 获取以字符串格式表达的会话名称和 ID

4、session_destroy 销毁一个会话中的全部数据

session_destroy() 销毁当前会话中的全部数据，但是不会重置当前会话所关联的全局变量，也不会重置会话 cookie。如果需要再次使用会话变量，必须重新调用 session_start() 函数

五、php.ini中关于session的配置

1、session.auto_start

是否自动启动session，0表示禁止，1表示开启，默认不启动。我们知道在使用session功能时，我们基本上在每个php脚本头部都会通过session_start()函数来启动session，如果你启动这个选项，则在每个脚本头部都会自动启动session，不需要每个脚本头部都以session_start()函数启动session，推荐关闭这个选项，采用默认值

2、session.save_path

session.save_path用于设置会话在服务存储路径。默认值为/tmp

3、session.use_cookies

session.use_cookies用于设置是否允许在客户端使用cookie会话，默认值为1，表示允许

4、session.use_only_cookies

是否仅仅使用cookie在客户端保存会话sessionid，这个选项可以使管理员禁止用户通过URL来传递id，默认为0，如果禁用的话，客户端如果禁用Cookie将使session无法工作

5、session.gc_divisor

定义在每次初始化会话时，启动垃圾回收程序的概率。计算公式如下：session.gc_probability/session.gc_divisor，比如1/100，表示有1%的概率启动启动垃圾回收程序，对会话页面访问越频繁，概率就应当越小。建议值为1/1000~5000。

六、session过期时间

在php.ini文件中有这样一个配置，这个配置表示session文件过期时间，默认的话是1440秒，也就是24分钟，这个24分钟是session的发呆时间，如果在24分钟内没有对session进行操作，那么session文件就会过期，如果在23分钟的时候操作了session，那么就会又有24分钟的过期时间，如果过期了，该session被服务器认为是垃圾。

session.gc_maxlifetime = 1440

垃圾回收机制控制

还有这样的两个配置，服务器每次session_start的时候，都有可能启动垃圾回收机制去删除垃圾文件，这个概率为session.gc_probability / session.gc_divisor。

session.gc_probability = 1

session.gc_divisor = 1000

我们可以这样进行配置，来体会一下session垃圾回收机制。

session.gc_maxlifetime = 60

session.gc_probability = 1000

session.gc_divisor = 1000

这样session的过期时间为60秒，还有就是每次session_start的时候都会去开启gc，然后删除垃圾。

然后写一个脚本：gc.php

<?php

session_start();

测试

1、然后第一次启动浏览器去请求gc.php，然后关闭浏览器，这个时候会产生第一个session文件，如果没有配置的话，默认是在C:\Window\Temp目录下，这个目录也可以进行配置。

2、第二次启动浏览器去请求gc.php，然后关闭浏览器，这个时候会产生第二个session文件

3、第三次启动浏览器去请求gc.php，不关闭浏览器，然后不断的去刷新gc.php，都会去调用session_start方法，由于我们前面进行了相应的配置，所以每次session_start的时候都会去调用gc，然后gc去检测一下是否有垃圾文件，如果有垃圾文件，就将其删除，我们会看到前两个文件一个一个的被删除。

来自为知笔记(Wiz)