Wstęp

W przeciwieństwie do PHP 3, PHP 4.0 posiada zdolność zarządzania sesjami użytkowników. Sesje pozwalają w prosty sposób śledzić poczynania poszczególnych użytkowników podczas kolejnych wizyt na naszej witrynie. Dla połączenia danych sesji z użytkownikiem, który je wytworzył generowany jest identyfikator sesji (session ID), klucz łączący użytkownika z jego danymi.
PHP 4.0 posiada wbudowaną podstawową obsługę sesji, która uwalnia nas od procesu tworzenia identyfikatora sesji, szeregowania i zapisu danych sesji, brakuje jednak tu kilku rozbudowanych możliwości dostępnych w PHPLib.

Podstawowe terminy

Zarządzanie sesjami to mechanizm utrzymujący informacje (dane) z serii zapytań HTTP (wizyt) od tego samego użytkownika na przestrzeni pewnego czasu. Termin "sesja" określa tu czas jaki użytkownik spędził na konkretnej witrynie. Niestety w protokole HTTP brak jest mechanizmów inforujących o stanie połączenia. Pojedyńcze zapytania HTTP nie muszą być ze sobą powiązane. Serwer www nie potrafi rozróżniać kolejnych użytkowników, nie wie nic o sesjach konkretnych użytkowników. Zarządzanie sesjami to sposób na połączenie danych z użytkownikiem podczas wizyty na witrynie. W artykule stosuję termin "sesja" dla określenia pojedyńczej wizyty użytkownika na witrynie. Dla przykładu, typowa sesja online związana z zakupami zawiera zalogowanie się, pobranie artykułów do koszyka, złożenie zamówienia, podanie adresu (ew. numeru karty kredytowej), wysłanie zamówienia, i zamknięcie okna przeglądarki (wylogowanie).
PHP 4.0 zawiera podstawowe funkcje do zarządzania sesjami użytkowników.
Czas kiedy sesja jest aktywna określany jest "życiem" sesji.
"Szeregowanie" (serializing) oznacza przekształcanie zmiennych do formatu kiedy mogą być zapisane jako normalny łańcuch znaków (string). Bez możliwości przekształcania zmiennych, nie możliwe byłoby, np. zapisanie tablicy PHP w bazie danych. Szeregowanie danych jest pomocne przy przechowywaniu danych pomiędzy kolejnymi wizytami. Możesz używać funkcji serialize() i deserialize(), choć w PHP3 funkcje te nie pracują właściwie na obiektach (klasach).

Podstawowe informacje

Bibilioteka zarządzania sesją użyta w PHP oferuje możliwości jakie udostępnia większość bibliotek zarządzania sesją:

. Zapisuje dane sesji na serwerze. Dzięki temu, że biblioteka używa różnych modułów magazynowania danych, możliwe jest przechowywanie danych w plikach tekstowych, pamięci dzielonej, czy bazie danych. Dokładna lokalizacja danych nie jest ważna, jeżeli nie cierpi na tym wydajność.
. Używa kodowanego, przypadkowego identyfikatora sesji dla identyfikacji użytkownika.
. Zapisuje identyfikator sesji (i tylko identyfikator) po stronie klienta używając cookies, GET/POST, lub w ścieżce do skryptu.
. Jeżeli użytkownik nie obsługuje cookies, aplikacja może używać innego sposobu obsługi sesji.

Uruchamianie sesji

W PHP 4 uruchamianie sesji następuje po jawnym wywołaniu funkcji session_start(), lub automatycznie przy rejestrowaniu zmiennej w sesji używając session_register(). Zwykle wywołuje się funkcję session_start() na początku strony (skryptu), tak aby zmienne sesji były dostępne w skrypcie. Nie ma jednak żadnej różnicy, jeżeli rejestrujesz zmienne sesji wywołując funkcję session_register() na początku skryptu i pomijasz wywołanie session_start(), ponieważ wywołując session_register() automatycznie (wewnętrznie) jest uruchamiana funkcja session_start() , jeżeli sesja jeszcze nie została uruchomiona.

Z chwilą uruchomienia sesji:
. PHP sprawdza czy istnieje ważny identyfikator sesji (session ID)
. Jeżeli nie istnieje ważny identyfikator sesji, PHP tworzy nowy identyfikator
. Jeżeli istnieje ważny identyfikator sesji, zamrożone zmienne tej sesji są reaktywowane i wprowadzane z powrotem do globalnej przestrzeni zmiennych.

Rejestrowanie zmiennych sesji jest wykonywane komendą session_register(). Umożliwia ona tworzenie (rejestrowanie) zmiennych, które są przechowywane przez sesję i dostępne podczas sesji. Wszystkie zmienne, które chcesz przechowywać na potrzeby kolejnych wizyt użytkownika na witrynie muszą być zarejestrowane funkcją session_register(). Argumentem tej funkcji jest nazwa zmiennej, nie sama zmienna ! Aby usunąć zmienną z sesji możesz użyć funkcji session_unregister() np. w przypadku, gdy użytkownik usuwa produkt z koszyka.

Przykład: prosty licznik.
. startujemy sesję
. wyświetlamy ostatnią wartość licznika
. zwiększamy licznik
. rejestrujemy licznik

session_start();
print($licznik);
$licznik++;
session_register("licznik");

Oczywiście licznik ten zlicza odwiedziny tylko jednego użytkownika, bazując na zmiennej zawartej w jego sesji. Domyślna konfiguracja PHP określa czas życia cookie do momentu zamknięcia okna przeglądarki (lifetime = 0), więc jeśli zamkniesz okno przeglądarki i ponownie je otworzysz licznik zwiększy się znów o 1.

Przykład: rejestrowanie zmiennej $imie

session_register("imie");

Przykład: rejestrowanie wcześniej zdefiniowanej zmiennej $ulica

$ulica = "Pomorska";
$foo = "ulica";
session_register($foo);

Różnica w dwóch ostatnich przykładach polega na tym, że w pierwszym, zmienna "imie" jest rejestrowana jako zmienna sesji, w drugim zmienna o nazwie "ulica". Funkcja session_register() pobiera jako argument nazwę zmiennej, a nie samą zmienną !

Łatwość posługiwania się zmiennymi sesji można porównać do posługiwania się zmiennymi zdefiniowanymi w metodach GET/POST. Jeżeli zarejestrujesz zmienną o nazwie foo, to $foo jest dostępna automatycznie zaraz po wywołaniu funkcji session_start(). Ponieważ funkcja serialize() w PHP4 posiada nowe możliwości, realnym stało się używanie obiektów (klas) jako zmiennych sesji.

Uwaga: podczas uruchamiania sesji, może być stworzony nowy identyfikator sesji jeżeli sesja zostanie uznana za nieważną, ponieważ użytkownik wchodzi na witrynę z nie lokalnej strony (nie ze strony na tej witrynie) jeśli opcja extern_referer_check (uwaga: pojedyńcze "r") jest włączona w pliku konfiguracyjnym PHP. Jest to jedna z metod zapobieganiu wchodzenia użytkowników z innych witryn PHP i przejmowaniu sesji (jest to na razie mało prawdopodobne).

Zamykanie sesji

Sesja nie jest zamykana automatycznie, ponieważ systemowi trudno byłoby określić kiedy użytkownik kończy sesję.

Różne komendy kontrolują zakończenie sesji przez użytkownika.
. Sesję można zamknąć funkcją session_destroy().
. Jeżeli przekazujesz session ID poprzez cookies, pamiętaj, że ich czas życia trwa do chwili zamknięcia okna przeglądarki (lifetime = 0). Jednak możesz określić inny czas życia dla cookie wpisując odpowiednią wartość w pliku konfiguracyjnym PHP.
. Możesz użyć dyrektywy konfiguracyjnej gc_maxlifetime do określenia po jakim czasie od ostatniej sesji dane tej sesji mają być skasowane, ponieważ serwer nie wie czy cookie wciąż istnieje na komputerze użytkownika. Jednak wykonywanie czyszczenia starych sesji (zwane "garbage collection") przy każdym dostępie do strony może wpływać na wydajność, dlatego też równocześnie z opcją gc_maxlifetime, powinieneś użyć opcji gc_probability , która określa z jakim prawdopodobieństwem mają być wywoływane procedury czyszczenia starych sesji. Jeżeli gc_probability wynosi 100, czyszczenie jest wykonywane podczas każdego zapytania (tzn. z prawdopodobieństwem 100%); jeśli wynosi 1 (domyślnie), stare sesje zostaną usunięte z prawdopodobieństwem 1% dla każdego zapytania.

Jeśli nie używamy cookie, ale przesyłamy identyfikator sesji za pomocą metod GET/ POST, musimy zachować szczególną ostrożność przy używaniu procedur czyszczenia sesji. Użytkownicy mogą umieścić URL ze swoim identyfikatorem w bookmarkach/ulubionych , w tym wypadku należy wykonywać cykliczne czyszczenie sesji, ponieważ jeśli dane sesji istnieją kiedy użytkownik ponownie wchodzi na stronę ze swoim identyfikatorem sesji, PHP reasumuje poprzednią sesję zamiast wystartować nową sesję. Wartość gc_probability w zakresie 10-20 będzie bardziej odpowiednia dla takiego scenariusza, aniżeli wartość 1 (częściej będą czyszczone stare sesje) .

Może zastanawiać fakt, dlaczego PHP pozwala zdefiniować prawdopodobieństwo (gc_probability) określające kiedy mają być czyszczone stare sesje, zamiast ustalenia czyszczenia co n wywołań. Jeżeli PHP używałoby funkcji zliczających, serwer musiałby kontrolować ilość otwartych sesji. Używając prawdopodobieństwa serwer nie musi przechowywać liczników otwartych sesji, przez co jest o wiele szybszy.

na podstawie:
"Session Handling with PHP 4.0" Tobias Ratschiller