对比起 CookieSession 是存储在服务器端的会话相对安全并且不像 Cookie 那样有存储长度限制本文简单介绍 Session 的使用
由于 Session 是以文本文件形式存储在服务器端的所以不怕客户端修改 Session 内容实际上在服务器端的 Session 文件PHP 自动修改 Session 文件的权限只保留了系统读和写权限而且不能通过 ftp 修改所以安全得多
对 于 Cookie 来说假设我们要验证用户是否登陆就必须在 Cookie 中保存用户名和密码（可能是 md 加密后字符串）并在每次请求页面的时候进行验证如果用户名和密码存储在数据库每次都要执行一次数据库查询给数据库造成多余的负担因为我们并不能 只做一次验证为什么呢？因为客户端 Cookie 中的信息是有可能被修改的假如你存储 $admin 变量来表示用户是否登陆$admin 为 true 的时候表示登陆为 false 的时候表示未登录在第一次通过验证后将 $admin 等于 true 存储在 Cookie下次就不用验证了这样对么？错了假如有人伪造一个值为 true 的 $admin 变量那不是就立即取的了管理权限么？非常的不安全
而 Session 就不同了Session 是存储在服务器端的远程用户没办法修改 Session 文件的内容因此我们可以单纯存储一个 $admin 变量来判断是否登陆首次验证通过后设置 $admin 值为 true以后判断该值是否为 true假如不是转入登陆界面这样就可以减少很多数据库操作了而且可以减少每次为了验证 Cookie 而传递密码的不安全性了（Session 验证只需要传递一次假如你没有使用 SSL 安全协议的话）即使密码进行了 md 加密也是很容易被截获的
当然使用 Session 还有很多优点比如控制容易可以按照用户自定义存储等（存储于数据库）我这里就不多说了
Session 在 phpini 是否需要设置呢？一般不需要的因为并不是每个人都有修改 phpini 的权限默认 Session 的存放路径是服务器的系统临时文件夹我们可以自定义存放在自己的文件夹里这个稍后我会介绍
开始介绍如何创建 Session非常简单真的
启动 Session 会话并创建一个 $admin 变量
复制代码 代码如下:
<?php
// 启动 Session
session_start();
// 声明一个名为 admin 的变量并赋空值
$_SESSION["admin"] = null;
?>
如果你使用了 Seesion或者该 PHP 文件要调用 Session 变量那么就必须在调用 Session 之前启动它使用 session_start() 函数其它都不需要你设置了PHP 自动完成 Session 文件的创建
执行完这个程序后我们可以到系统临时文件夹找到这个 Session 文件一般文件名形如sess_cbbdbfcfec后面是 位编码后的随机字符串用编辑器打开它看一下它的内容
复制代码 代码如下:
admin|N;
一般该内容是这样的结构
复制代码 代码如下:
变量名|类型:长度:值;
并用分号隔开每个变量有些是可以省略的比如长度和类型
我们来看一下验证程序假设数据库存储的是用户名和 md 加密后的密码
loginphp
复制代码 代码如下:
<?php
// 表单提交后
$posts = $_POST;
// 清除一些空白符号
foreach ($posts as $key => $value) {
$posts[$key] = trim($value);
}
$password = md($posts["password"]);
$username = $posts["username"];
$query = "SELECT `username` FROM `user` WHERE `password` = $password AND `username` = $username";
// 取得查询结果
$userInfo = $DB>getRow($query);
if (!empty($userInfo)) {
// 当验证通过后启动 Session
session_start();
// 注册登陆成功的 admin 变量并赋值 true
$_SESSION["admin"] = true;
} else {
die("用户名密码错误");
}
?>
我们在需要用户验证的页面启动 Session判断是否登陆
复制代码 代码如下:
<?php
// 防止全局变量造成安全隐患
$admin = false;
// 启动会话这步必不可少
session_start();
// 判断是否登陆
if (isset($_SESSION["admin"]) && $_SESSION["admin"] === true) {
echo "您已经成功登陆";
} else {
// 验证失败将 $_SESSION["admin"] 置为 false
$_SESSION["admin"] = false;
die("您无权访问");
}
?>
是不是很简单呢？将 $_SESSION 看成是存储在服务器端的数组即可我们注册的每一个变量都是数组的键跟使用数组没有什么分别
如果要登出系统怎么办？销毁 Session 即可
复制代码 代码如下:
<?php
session_start();
// 这种方法是将原来注册的某个变量销毁
unset($_SESSION[admin]);
// 这种方法是销毁整个 Session 文件
session_destroy();
?>
Session 能否像 Cookie 那样设置生存周期呢？有了 Session 是否就完全抛弃 Cookie 呢？我想说结合 Cookie 来使用 Session 才是最方便的
Session 是如何来判断客户端用户的呢？它是通过 Session ID 来判断的什么是 Session ID就是那个 Session 文件的文件名Session ID 是随机生成的因此能保证唯一性和随机性确保 Session 的安全一般如果没有设置 Session 的生存周期则 Session ID 存储在内存中关闭浏览器后该 ID 自动注销重新请求该页面后重新注册一个 Session ID
如果客户端没有禁用 Cookie则 Cookie 在启动 Session 会话的时候扮演的是存储 Session ID 和 Session 生存期的角色
我们来手动设置 Session 的生存期
复制代码 代码如下:
<?php
session_start();
// 保存一天
$lifeTime = * ;
setcookie(session_name() session_id() time() + $lifeTime "/");
?>
其实 Session 还提供了一个函数 session_set_cookie_params(); 来设置 Session 的生存期的该函数必须在 session_start() 函数调用之前调用
复制代码 代码如下:
<?php
// 保存一天
$lifeTime = * ;
session_set_cookie_params($lifeTime);
session_start();
$_SESSION["admin"] = true;
?>
如果客户端使用 IE session_set_cookie_params(); 函数设置 Cookie 会有些问题所以我们还是手动调用 setcookie 函数来创建 cookie
假 设客户端禁用 Cookie 怎么办？没办法所有生存周期都是浏览器进程了只要关闭浏览器再次请求页面又得重新注册 Session那么怎么传递 Session ID 呢？通过 URL 或者通过隐藏表单来传递PHP 会自动将 Session ID 发送到 URL 上URL 形如其中 URL 中的参数 PHPSESSID 就是 Session ID了我们可以使用 $_GET 来获取该值从而实现 Session ID 页面间传递
复制代码 代码如下:
<?php
// 保存一天
$lifeTime = * ;
// 取得当前 Session 名默认为 PHPSESSID
$sessionName = session_name();
// 取得 Session ID
$sessionID = $_GET[$sessionName];
// 使用 session_id() 设置获得的 Session ID
session_id($sessionID);
session_set_cookie_params($lifeTime);
session_start();
$_SESSION[admin] = true;
?>
对 于虚拟主机来说如果所有用户的 Session 都保存在系统临时文件夹里将给维护造成困难而且降低了安全性我们可以手动设置 Session 文件的保存路径session_save_path() 就提供了这样一个功能我们可以将 Session 存放目录指向一个不能通过 Web 方式访问的文件夹当然该文件夹必须具备可读写属性
复制代码 代码如下:
<?php
// 设置一个存放目录
$savePath = /session_save_dir/;
// 保存一天
$lifeTime = * ;
session_save_path($savePath);
session_set_cookie_params($lifeTime);
session_start();
$_SESSION[admin] = true;
?>
同 session_set_cookie_params(); 函数一样session_save_path() 函数也必须在 session_start() 函数调用之前调用
我们还可以将数组对象存储在 Session 中操作数组和操作一般变量没有什么区别而保存对象的话PHP 会自动对对象进行序列化（也叫串行化）然后保存于 Session 中下面例子说明了这一点
personphp
复制代码 代码如下:
<?php
class person {
var $age;
function output() {
echo $this>age;
}
function setAge($age) {
$this>age = $age;
}
}
?>
setagephp
复制代码 代码如下:
<?php
session_start();
require_once personphp;
$person = new person();
$person>setAge();
$_SESSION[person] = $person;
echo <a >check here to output age</a>;
?>
outputphp
复制代码 代码如下:
<?php
// 设置回调函数确保重新构建对象
ini_set(unserialize_callback_func mycallback);
function mycallback($classname) {
include_once $classname php;
}
session_start();
$person = $_SESSION[person];
// 输出
$person>output();
?>
当 我们执行 setagephp 文件的时候调用了 setage() 方法设置了年龄为 并将该状态序列化后保存在 Session 中（PHP 将自动完成这一转换）当转到 outputphp 后要输出这个值就必须反序列化刚才保存的对象又因为在解序列化的时候需要实例化一个未定义类所以我们定义了以后回调函数自动包含 personphp 这个类文件因此对象被重构并取得当前 age 的值为 然后调用 output() 方法输出该值
另外我们还可以使用 session_set_save_handler 函数来自定义 Session 的调用方式
