Session 知识点再整理（一）基本概念和原理

Session 的概念

Session 和 Cookie 一样，也是针对 HTTP 的局限性而提出的一种保持客户端和服务器端会话连接状态的机制。

Session 被称为会话，指用户在进入网站到浏览器关闭（或退出网站）这段时间内与 Web 系统的会话过程。

Session 的存储

Session 保存在服务器端，默认情况以文件的形式保存在服务器硬盘上，每个 Session 一个文件，文件名如：sess_j64kv3np0ft2u00aun0cilqdo2，里面保存的内容结构是：变量名 | 类型：长度：值；

例如：

name|s:3:"dee";level|i:2;

在 php.ini 中，session.save_handler 定义了存储和获取 Session 数据的处理器的名字，默认为 files，表示使用文件形式保存 Session：

session.save_handler = files

也可以设置成用户自定义方式存储 Session 的 user 或者 memcache 来使 Session 保存到关系型数据库或者 Memcache 等内存服务器中。

在 php.ini 中，session.save_path 表示 Session 存储的位置，在 WAMPSERVER 环境下的默认值是：

session.save_path = "d:/wamp/tmp"

表示 Session 文件存储在 d 盘 wamp/tmp 目录下； Windows 环境中在该配置被注释的情况下 Session 可能保存在 C:\Windows\Temp 目录下，Linux 环境中在该配置被注释的情况下 Session 保存在 /tmp 或 /var/lib/php/session 目录下。

当 Session 保存在 Memcache 中时可以修改该配置，例如：

session.save_path = "tcp://127.0.0.1:11211,tcp://127.0.0.1:11212"

以上配置代表将 Session 保存到两台 Memcache 服务器中。

当 Session 以文件形式保存时，默认是保存在硬盘的一个目录下，当 Session 比较多时，磁盘读取文件会比较慢，通常一个目录下文件数量超过 2000 个时，读写这个目录就会比较慢。此时可以考虑将 Session 分目录存放。session.save_path 有一个可选的 N 参数来决定 Session 文件分布的目录深度，格式是：

session.save_path = "N;MODE;/path"

N 表示要设置的目录级数，MODE 表示目录的权限属性，默认为 600（Windows 中不需要设置），/path 表示 Session 文件存放的根目录路径每一级目录分别以 0 – 9 和 a – z 共 36 个字符作为目录名，这样存放 Session 的目录可以达到 36^36 个。创建文件夹的工作需要 PHP 来完成。

例如，2 级目录即 N = 2 时可以这样设置：

<?php
//设置Session目录分级与保存路径
ini_set(\'session.save_path\', "2;/wamp/tmp");

//创建2级目录
$string = \'0123456789abcdefghijklmnopqrstuvwxyz\';
$length = strlen($string);
for($i = 0; $i < $length; $i++) {
    for($j = 0; $j < $length; $j++) {
        createfolder(\'d:/wamp/tmp/\'.$string[$i].\'/\'.$string[$j]);
    }
}

function createfolder($path) {
    if(!@file_exists($path)) {
        createfolder(@dirname($path));
        @mkdir($path, 0777);
    }
}

session_start();
$_SESSION[\'name\'] = \'dee\';

echo session_id();

打印出的 Session ID 为 3b9ptga94p7b5v1s33dnacrf95，那么 PHP 会根据该 ID 的前两位字符来存储 Session 文件，即该 Session 文件存储在 d:/wamp/tmp/3/b 下：

如果使用了 N 参数并且大于 0，那么 PHP 将不会自动回收过期的 Session，需要通过 shell 或者 cron 来清除过期的文件。

Session 的开启

通过 session_start 函数创建新会话或者重用现有会话，在 session_start 函数之前页面不能有任何的输出内容（当 php.ini 中的output_buffering = Off 时）。

当自动开启会话或者通过 session_start() 手动开启会话的时候， PHP 内部会调用会话管理器（save_handler）的 open 、 read 和 gc 回调函数。

会话管理器默认为文件（file），也可以是 SQLite 或者 Memcached 扩展，还可以通过 session_set_save_handler() 设定的用户自定义会话管理器，并通过 read 回调函数返回现有的（经过序列化的）会话数据， PHP 会自动反序列化数据并且赋给 $_SESSION 超级全局变量。

Session ID 及其传递

Session 的唯一标识 Session ID，是由 32 位十六进制数组成的字符串，php.ini 中 session.use_cookies 的默认值为 1，即默认通过 Cookie 来进行保存和传递：

session.use_cookies = 1

通过设置也能在客户端禁用了 Cookie 之后通过 URL 或者隐藏表单进行 session_id 的 GET 或 POST 传递。

如果需要在 Cookie 被禁用时仍然能使用 Session，需要修改 php.ini 中的几个配置：session.use_only_cookies 和 session.use_trans_sid，这两个参数的默认值分别是 1 和 0，分别代表在客户端仅仅使用 Cookie 来存放 Session ID ，和指定不启用透明 Session ID 支持（即在 URL 中不自动加上 Session ID 的参数）：

session.use_only_cookies = 1
session.use_trans_sid = 0

需要把这两个配置修改为：

session.use_only_cookies = 0
session.use_trans_sid = 1

此时如果禁用了 Cookie，则 URL 的格式为格式为 a.php?PHPSESSID=session_id

将 session_id 通过 URL 进行传递的缺点有：1. 安全性，将 session_id 暴露在了 URL 中 2. 当禁用了 Cookie 后，如果 URL 中没有传递 session_id（例如重复访问第一个设置 Session 的页面），就会使系统不能重用现有会话而重新生成新的会话。

例在 FireFox 40.0.3 下，设置禁用 Cookie：

”工具“ — ”选项“ — ”隐私“ — ”使用自定义历史记录设置“ — 取消勾选 ”接收来自站点的Cookie“

session_url_set.php：

<?php
header("Content-type:text/html;charset=utf-8");

ini_set(\'session.use_trans_sid\', 1);
ini_set(\'session.use_only_cookies\', 0);

session_start();

$_SESSION[\'user\'] = \'dee\';

echo session_id();
echo \'<pre>\';
print_r($_SESSION);
echo \'<a href="session_url_get.php" target="_blank">跳转</a>\';

输出：

session_url_get.php

<?php

ini_set(\'session.use_trans_sid\', 1);
ini_set(\'session.use_only_cookies\', 0);

session_start();

echo session_id();
echo \'<pre>\';
print_r($_SESSION);

输出：

session_id 自动成为 URL 参数。

但是此时再次刷新 session_url_set.php 时，会重新生成新的 Session：

当用户向服务器服务器发出请求时，服务器会首先检查请求中是否已经包含了 Session ID（通过请求头中 Cookie 中的 PHPSESSID 或者 URL 中的参数 PHPSESSID ），如果包含则服务器会重复使用该 Session ID，如果不包含，则生成一个新的 Session ID。

注意：URL 自动带上 Session ID 参数的条件是 ① 当前 Cookie 中不包含 Session ID ；② session.use_trans_sid 设置为 1 ；③ session.use_only_cookies 设置为 0

可以通过修改 php.ini 中的 session.name 来修改 Seeesion Name，默认这是 PHPSESSID：

session.name = PHPSESSID

可以通过在 PHP 脚本中输入 session_name() 来查看当点的 Session Name ：

echo session_name();

可以通过 session_id() 来查看当前的 Session ID：

echo session_id();

输出的值和对应的 Session 文件名相对应，例如 Session ID 是 j64kv3np0ft2u00aun0cilqdo2，文件名是 sess_j64kv3np0ft2u00aun0cilqdo2。

注销变量和销毁 Session

Session 的注销包括 4 个步骤：

<?php

//1.开启 Session
session_start();

//2.删除所有的 Session 变量
$_SESSION = array();

//3.如果是基于 Cookie 的 Session，则删除该 Cookie
if(isset($_COOKIE[session_name()])) {
    setcookie(session_name(), \'\', time() - 1, \'/\');
}

//4.彻底销毁 Session
session_destroy();

此时保存 Session ID 的 Cookie已经被清除，Session 文件的内容已经被清空，但是服务器上的 Session 文件的删除则需要依赖 Session 的垃圾回收机制。

Session 的生存周期和垃圾回收机制

默认情况下，Session ID 存储在 Cookie 中，该 Cookie 默认设置过期时间为 0，即随着浏览器关闭而消失（Cookie 保存在内存中），php.ini 的设置：

session.cookie_lifetime = 0

关闭浏览器后该 Session ID 自动注销，如果重新请求该页面则会重新注册一个新的 Session ID。

但是 Session 文件可能仍然存在，原因是 Session 的垃圾回收机制。和 Session 的垃圾回收机制相关的函数是：session_start()，在调用该函数时启动回收机制，相关的 3 个配置分别是：session.gc_maxlifetime，表示 Session 文件的过期时间，默认为 1440 秒即 24分钟能、session.gc_probability、session.gc_divisor，后面两个配置的默认值分别是 1 和 1000，代表 session_start() 函数每调用 1000 次触发一次 Session 文件的全部扫描，把过期的 Session 文件删除：

session.gc_maxlifetime = 1440
session.gc_probability = 1
session.gc_divisor = 1000

过期的 Session 文件的判断标准是：文件的修改时间和当前时间相差是否大于 session.gc_maxlifetime。当用户每进行一个操作哪怕是一个刷新页面的动作时，都会修改 Session 文件的修改时间。

可以手动设置 Session 的生命周期：

$life_time = 3600 * 24;
setcookie(session_name(), session_id(), time() + $life_time, \'/\');

经过设置，在关闭浏览器后，保存 Session ID 的 Cookie 的生命周期达到了 24 小时，也就是在 24 小时内即使关闭了浏览器，下次再访问该页面时 PHP 会重用该 Session。

可以通过设置较短的 session.gc_maxlifetime 和较小的 session.gc_divisor 来观察 Session 的过期机制：

把 session.gc_maxlifetime 设为 10（秒），即 10 秒内用户没有任何操作（包括刷新）的话，10 秒后该会话即成为过期 Session；把 session.gc_divisor 分别设为 1 和 2，也就是 session.gc_probability / session.gc_divisor = 1 或 1/2，意思是每一或两次访问网站（页面），都将扫描所有的 Session 文件，同时将过期的 Session 文件从硬盘上删除（当 Session 以 files 形式存储时），来观察 Session 的垃圾回收机制。注意 session.cookie_lifetime 要和 session.gc_maxlifetime 设置为相同的值。

session_cookie_set.php

<?php
header("Content-type:text/html;charset=utf-8");

ini_set(\'session.cookie_lifetime\', 10);
ini_set(\'session.gc_maxlifetime\', 10);
ini_set(\'session.gc_divisor\', 1);

session_start();

$_SESSION[\'username\'] = \'deathmask\';

echo session_id();
echo \'<pre>\';
print_r($_SESSION);
echo \'<a href = "session_cookie_get.php" target="_blank">跳转</a>\';

session_cookie_get.php

<?php

ini_set(\'session.cookie_lifetime\', 10);
ini_set(\'session.gc_maxlifetime\', 10);
ini_set(\'session.gc_divisor\', 1);

session_start();

echo session_id();
echo \'<pre>\';
print_r($_SESSION);