为了账号安全,请及时绑定邮箱和手机立即绑定

php会话控制

2019.07.08 18:29 915浏览

会话是什么?

    具有一定顺序的多个http请求

    会话是具有逻辑关联的多个简单交互的集合

    简单交互模型。请求<=>响应

    逻辑关联。登录->下单->结算->登出

    客户端与服务器端交互的行为。

    http是无状态的协议,每个请求都是单独处理的,协议无法识别当前用户。

    有状态 vs 无状态

    跟朋友约吃饭(朋友知道你是做啥的) vs 去银行办业务(银行不知道你要办啥业务)

会话是如何工作的?

    给http协议添加程序可识别的状态

    通过给请求分配令牌来识别用户

    令牌就是门票,每个人都是唯一的。

会话控制的内容?

    控制会话的开始与结束

    识别并处理会话内的请求

    更新会话的状态

会话控制的方式

    cookie

        setcookie('name', 'value', 'expire');

        定义了cookie,会和剩下的HTTP头一起发送给客户端。和其他HTTP头一样,必须在脚本产生任意输出之前发送cookie(由于协议的限制)。请在产生任何输出之前(包括<html>和<head>或者空格)调用本函数。

        setrawcookie();

        两者区别是setrawcookie不转义。

        

        使用cookie的安全建议:

        设置合理的过期时间 time()-1

        设置必要的访问路径

        合理设置secure和httponly属性

        

        1.Cookie是存储在客户端浏览器中的数据,我们通过Cookie来跟踪与存储用户数据。经常用来存储用户的登录信息,购物车等

        2.在使用会话Session时通常使用Cookie来存储会话id来识别用户,Cookie具备有效期,当有效期结束之后,Cookie会自动的从客户端删除。

        3.一般情况下,Cookie通过HTTP headers从服务端返回到客户端。多数web程序都支持Cookie的操作,因为Cookie是存在于HTTP的标头之中,所以必须在其他信息输出以前进行设置,类似于header函数的使用限制。

        4.PHP通过setcookie函数进行Cookie的设置,任何从浏览器发回的Cookie,PHP都会自动的将他存储在$_COOKIE的全局变量之中,因此我们可以通过$_COOKIE['key']的形式来读取某个Cookie值。

        5.setcookie()前面不要有任何输出

cookie能做什么?

    标记用户

    标记客户端

    存储简单信息

cookie工作原理?

    在HTTP响应中设置COOKIE

    在COOKIE的有效期内,每次请求都会携带COOKIE的值

    服务器识别并处理COOKIE的内容

cookie生命周期?

    在HTTP响应中设置COOKIE

    通过set-cookie指令设置COOKIE

    可以设置COOKIE的内容、有效期、有效路径等内容

    在HTTP请求中携带COOKIE

    只可访问域名相同,路径匹配并在有效期内的COOKIE

    通过cookie指令发送具有访问权限的COOKIE值

    COOKIE失效

    COOKIE过期

    用户手动删除COOKIE

    服务器清除COOKIE的有效性

PHP设置Cookie最常用的方法就是使用setcookie函数,setcookie具有7个可选参数,我们常用到的为前5个:

                name( Cookie名)可以通过$_COOKIE['name'] 进行访问

                value(Cookie的值)

                expire(过期时间)Unix时间戳格式,默认为0,表示浏览器关闭即失效

                path(有效路径)如果路径设置为'/',则整个网站都有效

                domain(有效域)默认整个域名都有效,如果设置了'www.imooc.com',则只在www子域中有效

因为Cookie是通过HTTP标头进行设置的,所以也可以直接使用header方法进行设置。

header("Set-Cookie:cookie_name=value");

过期时间

setcookie('test', '', time()-1); 

可以看到将cookie的过期时间设置到当前时间之前,则该cookie会自动失效,也就达到了删除cookie的目的。之所以这么设计是因为cookie是通过HTTP的标头来传递的,客户端根据服务端返回的Set-Cookie段来进行cookie的设置,如果删除cookie需要使用新的Del-Cookie来实现,则HTTP头就会变得复杂,实际上仅通过Set-Cookie就可以简单明了的实现Cookie的设置、更新与删除。

了解原理以后,我们也可以直接通过header来删除cookie。

header("Set-Cookie:test=1393832059; expires=".gmdate('D, d M Y H:i:s \G\M\T', time()-1));

有效路径

cookie中的路径用来控制设置的cookie在哪个路径下有效,默认为'/',在所有路径下都有,当设定了其他路径之后,则只在设定的路径以及子路径下有效,例如:

setcookie('test', time(), 0, '/path');

上面的设置会使test在/path以及子路径/path/abc下都有效,但是在根目录下就读取不到test的cookie值。

一般情况下,大多是使用所有路径的,只有在极少数有特殊需求的时候,会设置路径,这种情况下只在指定的路径中才会传递cookie值,可以节省数据的传输,增强安全性以及提高性能。

当我们设置了有效路径的时候,不在当前路径的时候则看不到当前cookie。

setcookie('test', '1',0, '/path');   var_dump($_COOKIE['test']);  


(1)最近浏览过哪些商品?

(2)登陆时,如果选择记住用户名,或者自动登陆就会把本次登陆成功得用户名保存到cookie中,然后在输入框读取。

    session

保存在服务端

用于存储用户相关信息

通过保存在客户端的SESSION ID来定位SESSION内容

session来存储用户的登录信息

session可以用来存储多种类型的数据,因此具有很多的用途,常用来存储用户的登录信息,购物车数据,或者一些临时使用的暂存数据等。


用户在登录成功以后,通常可以将用户的信息存储在session中,一般的会单独的将一些重要的字段单独存储,然后所有的用户信息独立存储。

$_SESSION['uid'] = $userinfo['uid']; $_SESSION['userinfo'] = $userinfo;


一般来说,登录信息既可以存储在sessioin中,也可以存储在cookie中,他们之间的差别在于session可以方便的存取多种数据类型,而cookie只支持字符串类型,同时对于一些安全性比较高的数据,cookie需要进行格式化与加密存储,而session存储在服务端则安全性较高。

    存储机制

        session的存储分为三个阶段:

        session_start() 开启阶段:

        (1)确定浏览器身上是否携带了session_id(session文件名称) ,如果携带了就直接使用浏览器身上的session_id,否则就创建session文件,并且把session文件名称(作为session_id)回应给浏览器。

        (2)初始化$_SESSION这个变量,先读取session文件里面的内容,再将其反序列化,最后赋值给$_SESSION变量。

        (3)判断哪些session文件已经过期,然后在触发垃圾回收机制。

        

        脚本运行周期内: session_start()之后

        (1)php只是对$_SESSION这个变量进行增删改查的操作,但其没有影响到session文件里面的内容,除非session_destroy(),但其内存中的数据还在,文件删除了;

        清除内存中的数据只需把$_SESSION = [];设置为空

        

        脚本执行结束阶段:这个阶段才会对session文件进行操作,才会把$_SESSION数组中的数据序列化然后存储到session文件中。

    session的垃圾回收机制

        当session_start()的时候,会先判断哪些session文件已经过期,session超过有效期之后,就会触发GC,并不是直接把过期的session文件都删除,而是有概率的删除,概率的计算:

        删除的概率 = propability/divisor

        将gc_propability设置为1000,将gc_divisor设置为1000,将gc_maclifetime设置为60,表示60秒内如果没有任何操作,说明就过期了,就会触发GC

session与cookie的异同

cookie将数据存储在客户端,建立起用户与服务器之间的联系,通常可以解决很多问题,但是cookie仍然具有一些局限:

每次请求都是随身携带,cookie相对不是太安全,容易被盗用导致cookie欺骗,效率比较低

单个cookie的值最大只能存储4k

每次请求都要进行网络传输,占用带宽

session是将用户的会话数据存储在服务端,没有大小限制,通过一个session_id进行用户识别,PHP默认情况下session id是通过cookie来保存的,因此从某种程度上来说,seesion依赖于cookie。但这不是绝对的,session id也可以通过参数来实现,只要能将session id传递到服务端进行识别的机制都可以使用session。

其他方式

Json Web Token

Authorized Token

Access Token + Secret Token



点击查看更多内容
1人点赞

若觉得本文不错,就分享一下吧!

评论

相关文章推荐

正在加载中
意见反馈 邀请有奖 帮助中心 APP下载
官方微信

举报

0/150
提交
取消