php cookie与session

朱雀 2022-05-22 06:54 294阅读 0赞

一. cookie

1. 什么是cookie

某些网站为了辨别用户身份、由 Web 服务器保存在用户浏览器（客户端）上的小文本文件，它可以包含有关用户的信息。无论何时用户链接到服务器，Web 站点都可以访问 Cookie 信息

2. cookie保存哪里

保存在浏览器（客户端）

3. 工作原理

a) 服务器通过随着响应发送一个http 的Set-Cookie 头，在客户机中设置一个cookie(多个cookie要多个头)。  
b) 客户端自动向服务器端发送一个http 的cookie 头，服务器接收读取

4. 优点

减轻服务器压力(保存在客户端，要跟踪这个用户，，这个用户的信息，保存在浏览器，，缓存文件。。对应一个网站)

根据要求保存时间,更改状态

5. 缺点

伪cookie，伪照，浏览器禁用了，会失效

6. 设置cookie

1. setcookie()或setrawcookie()函数设置cookie

bool setcookie ( string name \[, string value \[, int expire \[, string path \[, string domain \[, bool secure \[, bool  
httponly\]\]\]\]\]\] )  
SetCookie(名字,值,有效期,有效路径,有效域名,加密的HTTPS协议);  
有效期: 以'秒'为单位 如:time()+3600就是表示一小时后失效 也可以通过mk\_time()  
保存目录：限制保存到一个目录 ,默认是当前目录,在另外一目录下没有作用  
域名：.php100.com 泛解析 bbs.php100.com也有用  
secure 如果值为 1，则cookie 只能在https 连接上有效，如果为默认值 0，则http 和 https 都可以。  
除了'名字',其他参数都是可选的, '值','有效路径','有效域名'可以用空字符替代,'有效期','加密的HTTPS协议'用0表示

2. 使用 header()设置cookie;

header("Set-Cookie: name=$value\[;path=$path\[;domain=xxx.com\[;...\]\]");

7. 获取cookie

echo $\_COOKIE\["user"\];  
echo $HTTP\_COOKIE\_VARS\['user'\];

8. 注销cookie

1. 调用只带有name的SetCookie: SetCookie('name')  
2. 设置(有效时间小于当前时间)失效时间提前：SetCookie('name','',time()-1)  
当一个COOKIE删除时,在当前页仍然有效

9. 注意事项

a. 在html输出之前，调用COOKIE函数(因为COOKIE属于HTTP协议头的一部分,用于浏览器跟服务器间传递信息)  
b. 不同的浏览器处理结果不一样  
c. 一个浏览器最多创建30个，一个最大4KB(操作混乱)

d. cookie不是时时生效的，，要再点击一次（php规定）,

解决办法：增加一个跳转页面 echo "<script>location.href='跳转的页面文件'</script>";

e. 注意：Cookie一定要在其他Header之前发送出去，否则出错！

10. 实例

a. 设置、清除cookie(请求后，服务器会发送一个响应的set-cookie头给客户端，包含cookie的信息)

![70][]

![70 1][]

b. 获取cookie（客户端请求时，会发送一个Cookie请求头，指定cookie名和值，服务器端可以获取）

![70 2][]

![70 3][]

二. session

1. 什么是session

简单来说就是[服务器][Link 1]给客户端的一个编号。当一台WWW服务器运行时，可能有若干个用户浏览正在运行这台服务器上的网站。当每个用户首次与这台WWW服务器建立连接时，他就与这个服务器建立了一个Session，同时服务器会自动为其分配一个SessionID，用以标识这个用户的唯一身份。

2. session保存哪里

保存在服务器端

3. 工作原理

session\_start()调用 session,服务器端在生成session 文件时,生成 session ID和默认值为PHPSESSID 的session name. 同时服务务器自动发送了 http头：

header('Set-Cookie: session\_name()=session\_id(); path=/'); 即setcookie(session\_name(),session\_id());

创建了一个与SESSION相关联的COOKIE

4. sessionid的传送

COOKIE传送: 当从该页跳转到的新页面并调用session\_start()后，PHP 将检查与给定ID 相关联的服务器端存贮  
的session 数据，如果没找到，则新建一个数据集  
URL传送: 只有在用户禁止使用cookie 的时候才用这种方法，因为浏览器cookie 已经通用，为安全起见，可不用该方法。

<a href="p.php?<?php print session\_name() ?>=<?php print session\_id() ?>">xxx</a>，

也可以通过 POST 来传递 session 值。

4. 优点

保存在服务器端的, 有专门一个文件保存session,安全性高，保存在服务器端，用户无法修改

5. 缺点

浏览器关了后，，会注销，不能设置保存时间  
每一个用户，生成一个文件，，增大服务器压力

6. session函数

设置session：

session\_start();

$\_SESSION\['test'\] = 'TEST';

获取session：

session\_start();

echo $\_SESSION\['test'\];

注销session:

session\_destroy();

SetCookie('PHPSESSID','',time()-1);

bool session\_start(void) 初始化 session。  
bool session\_destroy(void) 删除服务器端 session 关联文件。  
string session\_id() 当前session 的id。  
string session\_name() 当前存取的session 名称，也就是客户端保存session ID 的cookie 名称.默 认PHPSESSID。  
array session\_get\_cookie\_params() 与这个session 相关联的 session 的细节。  
string session\_cache\_limiter() 控制使用 session 的页面的客户端缓存。  
ini session\_cache\_expire() 控制客户端缓存时间。  
bool session\_destroy() 删除服务器端保存 session 信息的文件。  
void session\_set\_cookie\_params ( int lifetime \[, string path \[, string domain \[, bool secure \[, bool  
 httponly\]\]\]\] ) 设置与这个session 相关联的 session 的细节。  
bool session\_set\_save\_handler ( callback open, callback close, callback read, callback write, callback  
 destroy, callback gc ) 定义处理session 的函数(不是使用默认的方式)。

bool session\_regenerate\_id(\[bool delete\_old\_session\]) 分配新的session id

7. 注意事项

session\_start() 放在头部任何文件输出之前

8. SESSION 安全问题

攻击者通过投入很大的精力尝试获得现有用户的有效 session ID，有了session id，他们就有可能  
能够在系统中拥有与此用户相同的能力。  
因此，我们主要解决的思路是效验session ID 的有效性。  
代码片段  
<?php  
//$\_SERVER\['REMOTE\_ADDR'\] \#正在浏览当前页面用户的 IP 地址。  
// $\_SERVER\['HTTP\_USER\_AGENT'\] \#当前请求的 User\_Agent: 头部的内容。  
if(!isset($\_SESSION\['user\_agent'\]))\{  
 $\_SESSION\['user\_agent'\] = $\_SERVER\['REMOTE\_ADDR'\] . $\_SERVER\['HTTP\_USER\_AGENT'\];  
\}elseif ($\_SESSION\['user\_agent'\] != $\_SERVER\['REMOTE\_ADDR'\] . $\_SERVER\['HTTP\_USER\_AGENT'\]) \{ /\* 如果用户 session ID是伪造 \*/  
 session\_regenerate\_id();  
\}

9. 实例

a. 清除session(客户端清除，服务端器清除)

![70 4][]

![70 5][]

b. 设置session（开启session会话后，会发送一个set-cookie请求头给客户端（PHPSSID为名，值为sessionid的Cookie））

![70 6][]

![70 7][]

b. 获取session（客户端会发送一个名为PHPSSID,值为sessionid的请求头到服务器端，服务器端可以通过sessionid获取到session值）

![70 8][]

![70 9][]

三. session与cookie的区别与联系

a. 区别

1. cookie保存在客户端，安全性低，session保存在服务器端，安全性高

2. cookie可以设置生存时间，session没有生存周期，但是可以通过cookie设置session生存周期

b. 联系

如果sessionid默认为cookie保存的话，session会话开启后，会发送一个set-cookie请求头（名为PHPSSID,值为sessionid）给客户端，客户端再次请求后，会带上PHPSSID的cookie，服务器端就根据sessionid就可以获取到session变量

c. 更多区别与联系-可参考：https://blog.csdn.net/duan1078774504/article/details/51912868

[70]: /images/20220522/9fd2975e822b4ce186d51463ed37bd35.png
[70 1]: /images/20220522/c84cee50a01d42c99a2c2e857a092e7f.png
[70 2]: /images/20220522/dbed1e388fe74e1a87206aa20d8bcb5e.png
[70 3]: /images/20220522/7f8f1fbdef674a58b1a9477b4b83f27e.png
[Link 1]: https://baike.baidu.com/item/%E6%9C%8D%E5%8A%A1%E5%99%A8
[70 4]: /images/20220522/94a7aad89ff442da9e0e3ed2699c8438.png
[70 5]: /images/20220522/8fd64c543f5a44409379a2e00922e9fa.png
[70 6]: /images/20220522/a142aa5cb42a4fff824e17f41d6d01e7.png
[70 7]: /images/20220522/806d6631fc68437083de4949ff0226bd.png
[70 8]: /images/20220522/5ac325c7bbd64cf6a2a51634fd54f0af.png
[70 9]: /images/20220522/610b2f6231854a5fb7584b89b49feab6.png