比较全的PHP 会话(session 时间设定)使用入门代码

对比起 Cookie,Session 是存储在服务器端的会话,相对安全,并且不像 Cookie
那样有存储长度限制,本文简单介绍 Session 的使用。

  对于 Cookie 来说,假设我们要验证用户是否登陆,就必须在 Cookie 中保存用户名和密码(可能是 md5 加密后字符串),并在每次请求页面的时候进行验证。如果用户名和密码存储在数据库,每次都要执行一次数据库查询,给数据库造成多余的负担。因为我们并不能 只做一次验证。为什么呢?因为客户端 Cookie 中的信息是有可能被修改的。假如你存储 $admin 变量来表示用户是否登陆,$admin 为 true 的时候表示登陆,为 false 的时候表示未登录,在第一次通过验证后将 $admin 等于 true 存储在 Cookie,下次就不用验证了,这样对么?错了,假如有人伪造一个值为 true 的 $admin 变量那不是就立即取的了管理权限么?非常的不安全。

由于 Session 是以文本文件形式存储在服务器端的,所以不怕客户端修改
Session 内容。实际上在服务器端的 Session 文件,PHP 自动修改 Session
文件的权限,只保留了系统读和写权限,而且不能通过 ftp
修改,所以安全得多。

   而 Session 就不同了,Session 是存储在服务器端的,远程用户没办法修改 Session 文件的内容,因此我们可以单纯存储一个 $admin 变量来判断是否登陆,首次验证通过后设置 $admin 值为 true,以后判断该值是否为 true,假如不是,转入登陆界面,这样就可以减少很多数据库操作了。而且可以减少每次为了验证 Cookie 而传递密码的不安全性了(Session 验证只需要传递一次,假如你没有使用 SSL 安全协议的话)。即使密码进行了 md5 加密,也是很容易被截获的。

对于 Cookie 来说,假设我们要验证用户是否登陆,就必须在 Cookie
中保存用户名和密码,并在每次请求页面的时候进行验证。如果用户名和密码存储在数据库,每次都要执行一次数据库查询,给数据库造成多余的负担。因为我们并不能只做一次验证。为什么呢?因为客户端
Cookie 中的信息是有可能被修改的。假如你存储 $admin
变量来表示用户是否登陆,$admin 为 true 的时候表示登陆,为 false
的时候表示未登录,在第一次通过验证后将 $admin 等于 true 存储在
Cookie,下次就不用验证了,这样对么?错了,假如有人伪造一个值为 true 的
$admin 变量那不是就立即取的了管理权限么?非常的不安全。

  当然使用 Session 还有很多优点,比如控制容易,可以按照用户自定义存储等(存储于数据库)。我这里就不多说了。

而 Session 就不同了,Session 是存储在服务器端的,远程用户没办法修改
Session 文件的内容,因此我们可以单纯存储一个 $admin
变量来判断是否登陆,首次验证通过后设置 $admin 值为
true,以后判断该值是否为
true,假如不是,转入登陆界面,这样就可以减少很多数据库操作了。而且可以减少每次为了验证
Cookie 而传递密码的不安全性了。即使密码进行了 md5
加密,也是很容易被截获的。

  Session 在 php.ini 是否需要设置呢?一般不需要的,因为并不是每个人都有修改 php.ini 的权限,默认 Session 的存放路径是服务器的系统临时文件夹,我们可以自定义存放在自己的文件夹里,这个稍后我会介绍。

当然使用 Session
还有很多优点,比如控制容易,可以按照用户自定义存储等。我这里就不多说了。

  开始介绍如何创建 Session。非常简单,真的。

Session 在 php.ini
是否需要设置呢?一般不需要的,因为并不是每个人都有修改 php.ini
的权限,默认 Session
的存放路径是服务器的系统临时文件夹,我们可以自定义存放在自己的文件夹里,这个稍后我会介绍。

  启动 Session 会话,并创建一个 $admin 变量:

开始介绍如何创建 Session。非常简单,真的。

复制代码 代码如下:
<?php  
// 启动 Session  
session_start();  
// 声明一个名为 admin 的变量,并赋空值。 
$_SESSION[“admin”] = null;  
?>  

启动 Session 会话,并创建一个 $admin 变量:

  如果你使用了 Seesion,或者该 PHP 文件要调用 Session 变量,那么就必须在调用 Session 之前启动它,使用 session_start() 函数。其它都不需要你设置了,PHP 自动完成 Session 文件的创建。

?php //启动 Session session_start(); //声明一个名为 admin
的变量,并赋空值。 $_澳门新葡亰手机版,SESSION[admin] = null; ?

  执行完这个程序后,我们可以到系统临时文件夹找到这个 Session 文件,一般文件名形如:sess_4c83638b3b0dbf65583181c2f89168ec,后面是 32 位编码后的随机字符串。用编辑器打开它,看一下它的内容:

如果你使用了 Seesion,或者该 PHP 文件要调用 Session
变量,那么就必须在调用 Session 之前启动它,使用 session_start()
函数。其它都不需要你设置了,PHP 自动完成 Session 文件的创建。

  admin|N;

执行完这个程序后,我们可以到系统临时文件夹找到这个 Session
文件,一般文件名形如:sess_4c83638b3b0dbf65583181c2f89168ec,后面是 32
位编码后的随机字符串。用编辑器打开它,看一下它的内容:

  一般该内容是这样的结构:

admin|N;

  变量名|类型:长度:值;

一般该内容是这样的结构:

  并用分号隔开每个变量。有些是可以省略的,比如长度和类型。

变量名|类型:长度:值;

  我们来看一下验证程序,假设数据库存储的是用户名和 md5 加密后的密码:

并用分号隔开每个变量。有些是可以省略的,比如长度和类型。

复制代码 代码如下:
<?php  

我们来看一下验证程序,假设数据库存储的是用户名和 md5 加密后的密码:

// 表单提交后…  
$posts = $_POST;  
// 清除一些空白符号  
foreach ($posts as $key => $value) 

$posts[$key] = trim($value);  
}  
$password = md5($posts[“password”]);  
$username = $posts[“username”];  

login.php

$query = “SELECT `username` FROM `user` WHERE `password` = ‘$password'”;  
// 取得查询结果  
$userInfo = $DB->getRow($query);  

?php //表单提交后… $posts = $_POST; //清除一些空白符号 foreach
($posts as $key = $value) { $posts[$key] = trim($value); } $password =
md5($posts[password]); $username = $posts[username]; $query = SELECT
`username` FROM `user` WHERE `password` = ‘$password’;
//取得查询结果 $userInfo = $DB-getRow($query); if (!empty($userInfo)) {
if ($userInfo[username] == $username) { //当验证通过后,启动 Session
session_start(); //注册登陆成功的 admin 变量,并赋值 true
$_SESSION[admin] = true; } else { die(用户名密码错误); } } else {
die(用户名密码错误); } ?

if (!empty($userInfo))  
{  
if ($userInfo[“username”] == $username)  
{  
// 当验证通过后,启动 Session  
session_start();  
// 注册登陆成功的 admin 变量,并赋值 true  
$_SESSION[“admin”] = true;  
}  
else 
{  
die(“用户名密码错误”);  
}  

else 

die(“用户名密码错误”);  
}   

我们在需要用户验证的页面启动 Session,判断是否登陆:

  我们在需要用户验证的页面启动 Session,判断是否登陆: 

?php //防止全局变量造成安全隐患 $admin = false; //启动会话,这步必不可少
session_start(); //判断是否登陆 if (isset($_SESSION[admin])
$_SESSION[admin] === true) { echo 您已经成功登陆; } else {
//验证失败,将 $_SESSION[admin] 置为 false$_SESSION[admin] =
false; die(您无权访问); } ?

<?php  
// 防止全局变量造成安全隐患  
$admin = false;  

是不是很简单呢?将 $_SESSION
看成是存储在服务器端的数组即可,我们注册的每一个变量都是数组的键,跟使用数组没有什么分别。

// 启动会话,这步必不可少  
session_start();  

如果要登出系统怎么办?销毁 Session 即可。

// 判断是否登陆  
if (isset($_SESSION[“admin”]) && $_SESSION[“admin”] === true)  
{  
echo “您已经成功登陆”; 
}  
else  

// 验证失败,将 $_SESSION[“admin”] 置为 false 
$_SESSION[“admin”] = false;  
die(“您无权访问”);  
}  

?php session_start();
//这种方法是将原来注册的某个变量销毁unset($_SESSION[admin]);
//这种方法是销毁整个 Session 文件session_destroy(); ?

?>  

Session 能否像 Cookie 那样设置生存周期呢?有了 Session 是否就完全抛弃
Cookie 呢?我想说,结合 Cookie 来使用 Session 才是最方便的。

  是不是很简单呢?将 $_SESSION 看成是存储在服务器端的数组即可,我们注册的每一个变量都是数组的键,跟使用数组没有什么分别。