PHP5中COOKIE與SESSION的示例分析

這篇文章給大家分享的是有關(guān)PHP5中COOKIE與SESSION的示例分析的內(nèi)容。小編覺得挺實用的，因此分享給大家做個參考，一起跟隨小編過來看看吧。

1、HTTP協(xié)議本身是無狀態(tài)的。
   我們上網(wǎng)都要靠HTTP協(xié)議傳遞信息。比如我們在瀏覽器里鍵入：www.bokee.com這個網(wǎng)址并回車，你會發(fā)現(xiàn)網(wǎng)址會變成：http://www.bokee.com，其原因就是瀏覽的網(wǎng)頁是基于http協(xié)議的。http協(xié)議無法記錄用戶經(jīng)常上哪些網(wǎng)站，有什么愛好，也無法記錄用戶的ID帳號和密碼。這就是所謂的HTTP協(xié)議無狀態(tài)。HTTP協(xié)議本身是無狀態(tài)的，這與HTTP協(xié)議本來的目的是相符的，客戶端只需要簡單的向服務(wù)器請求下載某些文件，無論是客戶端還是服務(wù)器都沒有必要紀(jì)錄彼此過去的行為，每一次請求之間都是獨立的，好比一個顧客和一個自動售貨機或者一個普通的（非會員制）大賣場之間的關(guān)系一樣，你認得它們，它們則肯定認不得你。

2、怎樣理解cookie和session？
   由于cookie和session關(guān)系密切，這里我們一并介紹。
   打個比方：在河南時，我常到一家熟食店買饞嘴鴨，該店老板為了促進銷售，特發(fā)布“每購滿10只即可免費贈送一只”的優(yōu)惠措施。除了家里有什么紅白喜事要饗客之外，應(yīng)該不會有人一次性購買10只烤鴨吧？所以老板得想個法子來記錄顧客的消費數(shù)量，這里總共有三種方案：
   Ⅰ、老板記住每一個顧客的消費數(shù)量，等到顧客消費滿10只的時候自動奉送一只。這好比HTTP協(xié)議本身是有狀態(tài)的，可以記住顧客的活動行為。但遺憾的是，出于種種考慮http協(xié)議本身是不能有狀態(tài)的，老板自個也沒有這么超常的記憶力，故這種方案行不通！
   Ⅱ、老板發(fā)給顧客一張積分卡，上面記錄著消費的數(shù)量，一般還有個有效期限。每次買烤鴨時，如果顧客出示這張卡片，老板就知道這位顧客曾經(jīng)光顧過小店。這種做法就是在客戶端保持狀態(tài)，好比是cookie技術(shù)。打開（windows系統(tǒng)）C:\Documents and Settings\用戶名\Cookies，你會發(fā)現(xiàn)一些*.txt格式的小文件，這就是你瀏覽某些網(wǎng)站，它們發(fā)給你的“積分卡”(cookies)。
   Ⅲ、老板發(fā)給顧客一張會員卡，除了卡號之外什么信息也不紀(jì)錄，每次買烤鴨時，如果顧客出示該卡片，則老板搬出店里的劃名冊，找到你的卡號并加1個積分。這種做法就是在服務(wù)器端保持狀態(tài)。
好比是session技術(shù)。
    cookie 和session最大的區(qū)別在于： cookie是把積分卡發(fā)給顧客，上面記錄了顧客所有的消費信息。Session則是把只有卡號(session id)的積分卡發(fā)給顧客，自家記錄了顧客所有的消費信息。Cookie是保存在客戶端的；session是保存在服務(wù)器端，而session id則是保存在客戶端，通常也是一個cookie小文件，由于這個小文件除了session id(好比卡號)外什么也沒有，因此比cookie安全多了。

3、cookie和session有什么用？
  常見的用法，比如在有些網(wǎng)站下載東西需要會員先登陸。http協(xié)議本身是無狀態(tài)的，無法得知顧客是否已經(jīng)登陸，怎么辦呢？cookie和session就可以知道。再比如網(wǎng)上購物，購物車怎么知道顧客挑選過哪些商品呢？cookie和session也可以記錄?？偠灾琧ookie和session就是能夠記錄顧客狀態(tài)的技術(shù)，盡管二者屬于不同的技術(shù)，但只要cookie能做到的，session也能做到！

COOKIE篇

1、什么是cookie？
0Cookie技術(shù)是一個非常有爭議的技術(shù)，自經(jīng)誕生它就成了廣大網(wǎng)絡(luò)用戶和Web開發(fā)人員的一個爭論焦點。有一些網(wǎng)絡(luò)用戶，甚至包括一些資深的Web專家也對它的產(chǎn)生和推廣感到不滿，這倒不是因為Cookie技術(shù)的功能太弱或別的技術(shù)性能上的原因，而僅僅是因為他們覺得Cookie的使用，對網(wǎng)絡(luò)用戶的隱私構(gòu)成了危害。因為Cookie是由Web服務(wù)器保存在用戶瀏覽器上的小文本文件，它包含有關(guān)用戶的信息（如身份識別號碼、密碼、用戶在Web站點上購物的方式或用戶訪問該站點的次數(shù)）。
    那么Cookie技術(shù)究竟怎樣呢？是否真的給網(wǎng)絡(luò)用戶帶來了個人隱私的危害呢？還是讓我們看了下面的內(nèi)容，再做回答吧。
      在WEB技術(shù)發(fā)展史上，Cookie技術(shù)的出現(xiàn)是一個重大的變革。最先是Netscape在它的Netscape Navigator 瀏覽器中引入了Cookie技術(shù)，從那時起，World Wide Web 協(xié)會就開始支持Cookie標(biāo)準(zhǔn)。以后又經(jīng)過微軟的大力推廣（因為微軟的IIS Web服務(wù)器所采用的ASP技術(shù)很大程度的使用了Cookie技術(shù)），即在微軟的Internet Explorer瀏覽器中完全支持Cookie技術(shù)。到現(xiàn)在，絕大多數(shù)的瀏覽器都支持Cookie技術(shù)，或者至少兼容Cookie技術(shù)的使用。
      按照Netscape官方文檔中的定義，Cookie是在HTTP協(xié)議下，服務(wù)器或腳本可以維護客戶工作站上信息的一種方式。Cookie是由Web服務(wù)器保存在用戶瀏覽器上的小文件，它可以包含有關(guān)用戶的信息（如身份識別號碼、密碼、用戶在Web站點購物的方式或用戶訪問該站點的次數(shù)）。無論何時用戶鏈接到服務(wù)器，Web站點都可以訪問Cookie信息。
    如果你使用的是windows系統(tǒng)，那么請打開C:\Documents and Settings\用戶名\Cookies，你會發(fā)現(xiàn)該目錄下有好多*.txt格式的小文件。那就是cookie文件。當(dāng)然，在該目錄下你也可能什么都發(fā)現(xiàn)不了，那時因為你新裝了系統(tǒng)或者從未瀏覽過因特網(wǎng)，也或者你的瀏覽器禁用了cookie。否則該目錄下總會有點東西的。
     通俗地講，瀏覽器用一個或多個限定的文件來支持Cookie。這些文件在使用Windows操作系統(tǒng)的機器上叫做Cookie文件，在Macintosh 機器上叫做magic Cookie 文件，這些文件被網(wǎng)站用來在上面存儲Cookie數(shù)據(jù)。網(wǎng)站可以在這些Cookie文件中插入信息，這樣對有些網(wǎng)絡(luò)用戶就有些副作用。有些用戶認為這造成了對個人隱私的侵犯，更糟的是，有些人認為Cookie是對個人空間的侵占，而且會對用戶的計算機帶來安全性的危害。
     目前有些Cookie是臨時的，另一些則是持續(xù)的。臨時的Cookie只在瀏覽器上保存一段規(guī)定的時間，一旦超過規(guī)定的時間該Cookie就會被系統(tǒng)清除。例如在PHP中Cookie被用來跟蹤用戶進程直到用戶離開網(wǎng)站。持續(xù)的Cookie則保存在用戶的Cookie文件中，下一次用戶返回時，仍然可以對它進行調(diào)用。
     在Cookie文件中保存Cookie，一些用戶會過分地認為這將帶來很大的問題。主要是有些用戶擔(dān)心Cookie會跟蹤用戶網(wǎng)上沖浪的習(xí)慣，譬如用戶喜愛到那些類型的站點、愛從事些什么活動等。害怕這種個人信息一旦落入一些別有用心的家伙手中，那么個人也就可能成為一大堆廣告垃圾的對象，甚至遭到意外的損害。不過，這種擔(dān)心壓根兒不會發(fā)生，因為網(wǎng)站以外的用戶是無法跨過網(wǎng)站來獲得Cookie信息的。所以想以這種目的來應(yīng)用Cookie是不可能的。不過，由于一些用戶錯誤的理解以及“以訛傳訛”，一些瀏覽器開發(fā)商別無選擇，只好作出相適的響應(yīng)（例如Netscape Navigator4.0和Internet Explorer3.0都提供了屏蔽Cookie的選項）。個人認為，無風(fēng)不起浪，如果網(wǎng)站程序員沒有嚴(yán)謹(jǐn)思路的話，cookie確實也存在些許安全問題，不過這些瑕疵并不足以掩蓋cookie的優(yōu)秀品質(zhì)，大多數(shù)人還是非常樂意使用它的。
     對Cookie技術(shù)期待了這么久的結(jié)果是，迫使許多瀏覽器開發(fā)商在它們的瀏覽器中提供了對Cookie的靈活性控制功能。例如，目前的兩大主流瀏覽器 Netscape Navigator 和 Internet Explorer是這樣處理Cookie的:Netscape Navigator4.0不但可以接受Cookie進行警告，而且還可以屏蔽掉Cookie；InternetExplorer3.0也可以屏蔽 Cookie，但在Internet Explorer4.0中就只能進行接受警告而沒有提供屏蔽選項，不過在Internet Explorer4.0之后的更新版本中又加入了屏蔽Cookie的功能選項。
     此外，很多最新的技術(shù)甚至已經(jīng)可以在不能屏蔽Cookie的瀏覽器上進行Cookie的屏蔽了。例如，可以通過將Cookie文件設(shè)置成不同的類型來限制 Cookie的使用。但是，非常不幸地是，要是你想完全屏蔽Cookie的話，肯定會因此拒絕許多的站點頁面。因為當(dāng)今已經(jīng)有許多Web站點開發(fā)人員愛上了Cookie技術(shù)的強大功能，例如Session對象的使用就離不開Cookie的支持。

2、Cookie工作原理？
   當(dāng)客戶訪問某個基于PHP技術(shù)的網(wǎng)站時，在PHP中可以使用setcookie函數(shù)生成一個cookie，系統(tǒng)經(jīng)處理把這個cookie發(fā)送到客戶端并保存在C:\Documents and Settings\用戶名\Cookies目錄下。cookie是 HTTP標(biāo)頭的一部分, 因此setcookie函數(shù)必須在任何內(nèi)容送到瀏覽器之前調(diào)用。這種限制與header()函數(shù)一樣(如需了解head()函數(shù)，請自行查閱)。當(dāng)客戶再次訪問該網(wǎng)站時，瀏覽器會自動把C:\Documents and Settings\用戶名\Cookies目錄下與該站點對應(yīng)的cookie發(fā)送到服務(wù)器，服務(wù)器則把從客戶端傳來的cookie將自動地轉(zhuǎn)化成一個 PHP變量。在PHP5中，客戶端發(fā)來的cookie將被轉(zhuǎn)換成全局變量。你可以通過$_COOKIE[‘xxx’]讀取。

     盡管今天仍有一些網(wǎng)絡(luò)用戶對于Cookie的爭論樂此不倦，但是對于絕大多數(shù)的網(wǎng)絡(luò)用戶來說還是傾向于接受Cookie的。因此，我們盡可以放心地使用Cookie技術(shù)來開發(fā)我們的WEB頁面。

3、Cookie常見函數(shù)
● SetCookie  函數(shù)創(chuàng)建了一個Cookie，并且把它附加在HTTP頭的后面。必須注意的一點是：Cookie是HTTP協(xié)議頭的一部分，用于瀏覽器和服務(wù)器之間傳遞信息，所以必須在任何屬于HTML文件本身的內(nèi)容輸出之前調(diào)用SetCookie函數(shù)，調(diào)用該函數(shù)前即使有空格、空白行都不行。如果setCookie()認了第二，就沒有哪個元素敢認第一。使用setcookie()函數(shù)的前提是客戶瀏覽器支持cookie，如果客戶將之禁用的話，setcookie()也就英雄無用武之地了。
   int SetCookie(string name, string value, int expire, string path, string domain, int secure,bool httponly);  
參數(shù)說明：
   name;設(shè)置cookie變量的名稱。
   value;設(shè)置cookie的值。
   expire;設(shè)置cookie過期時間。如果要把cookie保存為瀏覽器進程，即瀏覽器關(guān)閉后就失效。那么可以直接把expiretime設(shè)為0。 Eg:setcookie(“name”,”value”,0)。該參數(shù)不設(shè)置的話，關(guān)閉瀏覽器也能結(jié)束一個cookie。
    path:表示web服務(wù)器上的目錄,默認為被調(diào)用頁面所在目錄. 這里還有一點要說明的，比如你的站點有幾個不同的目錄(比如一個購物目錄，一個論壇目錄)，那么如果只用不帶路徑的Cookie的話，在一個目錄下的頁面里設(shè)的Cookie在另一個目錄的頁面里是看不到的，也就是說，Cookie是面向路徑的。實際上，即使沒有指定路徑，WEB服務(wù)器會自動傳遞當(dāng)前的路徑給瀏覽器的，指定路徑會強制服務(wù)器使用設(shè)置的路徑。解決這個問題的辦法是在調(diào)用 SetCookie時加上路徑和域名，域名的格式可以是“http://www.phpuser.com/”，也可是“.phpuser.com”。 SetCookie函數(shù)里表示value的部分，在傳遞時會自動被encode，也就是說，如果value的值是“test value”在傳遞時就變成了“test%20value”，跟URL的方法一樣。當(dāng)然，對于程序來說這是透明的，因為在PHP接收Cookie的值時會自動將其decode。

    domain:cookie可以使用的域名,默認為被調(diào)用頁面的域名。這個域名必須包含兩個".",所以如果你指定你的頂級域名,你必須用".mydomain.com" 。設(shè)定域名后，必須采用該域名訪問網(wǎng)站cookie才有效。如果你使用多個域名訪問該頁，那么這個地方可以為空或者訪問這個cookie的域名都是一個域下面的。
    secure:如果設(shè)為"1"，表示cookie只能被用戶的瀏覽器認為是安全的服務(wù)器所記住。
    除了name之外所有的參數(shù)都是可選的。value,path,domain三個參數(shù)可以用空字符串""代換，表示沒有設(shè)置；expire 和 secure兩個參數(shù)是數(shù)值型的，可以用0表示。expire參數(shù)是一個標(biāo)準(zhǔn)的Unix時間標(biāo)記，可以用time()或mktime()函數(shù)取得，以秒為單位。secure參數(shù)表示這個Cookie是否通過加密的HTTPS協(xié)議在網(wǎng)絡(luò)上傳輸。
    httponly:如果設(shè)為1，則表示cookie只能被http協(xié)議所使用，任何腳本語言，比如javascrīpt是不能獲取PHP所創(chuàng)建的 cookie的，這就有效削弱了來自XSS的攻擊。(注意了：這是PHP5才有的選項，咱也沒有用過。看了官方手冊嘗試著翻譯的，如有疑問，請參考官方手冊。)
    當(dāng)前設(shè)置的Cookie不是立即生效的，而是要等到下一個頁面或刷新后才能看到.這是由于在設(shè)置的這個頁面里Cookie由服務(wù)器傳遞給客戶瀏覽器，在下一個頁面或刷新后瀏覽器才能把Cookie從客戶的機器里取出傳回服務(wù)器的原因。

小道消息

16歲德國學(xué)生通過cookie破解Hotmail
    德國16歲學(xué)生Adriaan Graas對于網(wǎng)絡(luò)安全以及Web開發(fā)很有興趣，他還發(fā)現(xiàn)了Hotmail破解之道。在一周多之后的今天，微軟還未修復(fù)該漏洞。
    這名小黑客的想法很簡單，當(dāng)用戶登陸Hotmail時，系統(tǒng)將會生成一個cookie方便下次登陸。由于該cookie并未綁定IP，因此黑客可以假冒這些cookie并用于登陸，甚至不需要知道受害人的密碼甚至email地址。通過XSS黑客可以插入一段javascrīpt代碼，利用log scrīpt將cookie發(fā)送到某個web服務(wù)器，腳本可以通過PHP，ASP，CGI等語言編寫。

Cookie應(yīng)用案例：
●創(chuàng)建一個cookie:
SetCookie()
●創(chuàng)建cookie數(shù)組：
其一：
SetCookie("CookieArray[]", "Value 1");
SetCookie("CookieArray[]", "Value 2");
其二：
SetCookie("CookieArray[0]", "Value 1");
SetCookie("CookieArray[1]", "Value 2");
● 接收和處理Cookie

PHP對Cookie的接收和處理的支持非常好，是完全自動的，跟GET,POST變量的原則一樣，特別簡單。
比如設(shè)置一個名為MyCookier的Cookie，PHP會自動從WEB服務(wù)器接收的HTTP頭里把它分析出來，并形成一個可直接使用的全局變量，名為$_COOKIE[‘MyCookie’]，這個變量的值就是Cookie的值。數(shù)組同樣適用。
分別舉例如下：（假設(shè)這些都在以前的頁面里設(shè)置過了，并且仍然有效）
echo $_COOKIE[‘MyCookie’];
取出cookie數(shù)組的例子：

// 創(chuàng)建一個cookie數(shù)組
setcookie("cookie[three]", "cookiethree");
setcookie("cookie[two]", "cookietwo");
setcookie("cookie[one]", "cookieone");
// 頁面刷新之后，用foreach提取cookie數(shù)組。
if (isset($_COOKIE['cookie'])) {
   foreach ($_COOKIE['cookie'] as $name => $value) {
       echo "$name : $value <br />\n";
   }
}

就這么簡單。
●刪除Cookie
   要刪除一個已經(jīng)存在的Cookie，有兩個辦法：
1、調(diào)用只帶有name參數(shù)的SetCookie，那么名為這個name的Cookie將被從關(guān)系戶機上刪掉；
setcookie(“MyCookie”); //刪除MyCookie。
2、設(shè)置Cookie的失效時間為time()或time()-1//time()減多少沒有關(guān)系啦，只要是過期時間就行//，那么這個Cookie在這個頁面的瀏覽完之后就被刪除了（其實是失效了）。例如：
    setcookie(“MyCookie”,”Value”,time()-1); //刪除MyCookie。
要注意的是，當(dāng)一個Cookie被刪除時，它的值在當(dāng)前頁在仍然有效的。
    如果要把cookie保存為瀏覽器進程，即瀏覽器關(guān)閉后就失效。那么可以直接把expiretime設(shè)為0。例如:setcookie(“name”,”value”,0)。該參數(shù)不設(shè)置的話，關(guān)閉瀏覽器也能結(jié)束一個cookie。

Cookie注意事項
1、SetCookie()之前不能有任何html輸出，它認了第二，沒有哪個元素敢認第一，就是空格，空白行都不行。
2、 SetCookie()后，你在當(dāng)前頁調(diào)用echo $_COOKIE["name"]不會有輸出。必須刷新或到下一個頁面才可以看到Cookie值。原因很簡單。SetCookie()執(zhí)行之后，往客戶端發(fā)送一個cookie，你不刷新或瀏覽下一個頁面，客戶端怎么把cookie給你送回去呀？瀏覽器創(chuàng)建了一個Cookie后，對于每一個針對該網(wǎng)站的請求，都會在Header中帶著這個Cookie；不過，對于其他網(wǎng)站的請求Cookie是絕對不會跟著發(fā)送的。而且瀏覽器會這樣一直發(fā)送，直到 Cookie過期為止。
3、使用Cookie的限制。一個瀏覽器能創(chuàng)建的Cookie數(shù)量最多為30個，并且每個不能超過4KB，每個WEB站點能設(shè)置的Cookie總數(shù)不能超過20個。 (這是書上看到的說法，應(yīng)該是一個web站點能創(chuàng)建的Cookie不能超過30個吧，要不然，我機子里的cookie少說也上百了，請達人指教！)
4、 Cookie是保存在客戶端的，用戶禁用了Cookie，你的Cookie自然也就沒作用啦！現(xiàn)在的瀏覽器，每當(dāng)咱發(fā)送一個Cookie給客戶端，他就像看門狗一樣給攔截住了，并詢問用戶是否允許Cookie進門。天，用戶又不是專家，有幾個人知道啥叫Cookie呀？搞不好都當(dāng)病毒拒之門外了。

SESSION篇

1、什么是session？
    Session的中文譯名叫做“會話”，其本來的含義是指有始有終的一系列動作/消息，比如打電話時從拿起電話撥號到掛斷電話這中間的一系列過程可以稱之為一個session。目前社會上對session的理解非常混亂：有時候我們可以看到這樣的話“在一個瀏覽器會話期間，...”，這里的會話是指從一個瀏覽器窗口打開到關(guān)閉這個期間；也可以看到“用戶（客戶端）在一次會話期間”這樣一句話，它可能指用戶的一系列動作（一般情況下是同某個具體目的相關(guān)的一系列動作，比如從登錄到選購商品到結(jié)賬登出這樣一個網(wǎng)上購物的過程；然而有時候也可能僅僅是指一次連接；其中的差別只能靠上下文來推斷了。
     然而當(dāng)session一詞與網(wǎng)絡(luò)協(xié)議相關(guān)聯(lián)時，它又往往隱含了“面向連接”和/或“保持狀態(tài)”這樣兩個含義，“面向連接”指的是在通信雙方在通信之前要先建立一個通信的渠道，比如打電話，直到對方接了電話通信才能開始?！氨３譅顟B(tài)”則是指通信的一方能夠把一系列的消息關(guān)聯(lián)起來，使得消息之間可以互相依賴，比如一個服務(wù)員能夠認出再次光臨的老顧客并且記得上次這個顧客還欠店里一塊錢。這一類的例子有“一個TCP session”或者“一個POP3 session”。
     鑒于這種混亂已不可改變，要為session下個定義就很難有統(tǒng)一的標(biāo)準(zhǔn)。而在閱讀session相關(guān)資料時，我們也只有靠上下文來推斷理解了。不過我們可以這樣理解：例如我們打電話，從撥通的那一刻起到掛斷電話期間，因為電話一直保持著接通的狀態(tài)，所以把這種接通的狀態(tài)叫做session。它是訪客與整個網(wǎng)站交互過程中一直存在的公有變量，在客戶端不支持COOKIE的時候，為了保證數(shù)據(jù)正確、安全，就采用SESSION變量。訪問網(wǎng)站的來客會被分配一個唯一的標(biāo)識符，即所謂的會話 ID。它要么存放在客戶端的 cookie，要么經(jīng)由 URL 傳遞。
     SESSION的發(fā)明填補了HTTP協(xié)議的局限：HTTP協(xié)議被認為是無狀態(tài)協(xié)議，無法得知用戶的瀏覽狀態(tài)，當(dāng)它在服務(wù)端完成響應(yīng)之后，服務(wù)器就失去了與該瀏覽器的聯(lián)系。這與HTTP協(xié)議本來的目的是相符的，客戶端只需要簡單的向服務(wù)器請求下載某些文件，無論是客戶端還是服務(wù)器都沒有必要紀(jì)錄彼此過去的行為，每一次請求之間都是獨立的，好比一個顧客和一個自動售貨機或者一個普通的（非會員制）大賣場之間的關(guān)系一樣。
     因此通過SESSION(cookie是另外一種解決辦法)記錄用戶的有關(guān)信息，以供用戶再次以此身份對web服務(wù)器提起請求時作確認。會話的發(fā)明使得一個用戶在多個頁面間切換時能夠保存他的信息。網(wǎng)站編程人員都有這樣的體會，每一頁中的變量是不能在下一頁中使用的(雖然form，url也可以實現(xiàn)，但這都是非常不理想的辦法)，而SESSION中注冊的變量就可以作為全局變量使用了。
     那么SESSION到底有什么用處呢？網(wǎng)上購物時大家都用過購物車，你可以隨時把你選購的商品加入到購物車中，最后再去收銀臺結(jié)帳。在整個過程中購物車一直扮演著臨時存貯被選商品的角色，用它追蹤用戶在網(wǎng)站上的活動情況，這就是SESSION的作用，它可以用于用戶身份認證，程序狀態(tài)記錄，頁面之間參數(shù)傳遞等。
     SESSION 的實現(xiàn)中采用COOKIE技術(shù)，SESSION會在客戶端保存一個包含session_id(SESSION編號)的COOKIE；在服務(wù)器端保存其他 session變量，比如session_name等等。當(dāng)用戶請求服務(wù)器時也把session_id一起發(fā)送到服務(wù)器，通過session_id提取所保存在服務(wù)器端的變量，就能識別用戶是誰了。同時也不難理解為什么SESSION有時會失效了。
     當(dāng)客戶端禁用COOKIE時(點擊IE中的“工具”—“Internet選項”，在彈出的對話框里點擊“安全”—“自定義級別”項，將“允許每個對話COOKIE”設(shè)為禁用)，session_id將無法傳遞，此時SESSION失效。不過php5在linux/unix平臺可以自動檢查cookie狀態(tài)，如果客戶端設(shè)置了禁用，則系統(tǒng)自動把session_id附加到url上傳遞。windows主機則無此功能。
     

2、Session常見函數(shù)及用法？
●Session_start()：開始一個會話或者返回已經(jīng)存在的會話。
   說明：這個函數(shù)沒有參數(shù)，且返回值均為true。如果你使用基于cookie的session(cookie-based sessions),那么在使用Session_start()之前瀏覽器不能有任何輸出，否則會發(fā)生以下錯誤：
Warning: Cannot send session cache limiter - headers already sent (output started at /usr/local/apache/htdocs/cga/member/1.php:2)…………
你可以在php.ini里啟動session.auto_start=1，這樣就無需每次使用session之前都要調(diào)用session_start()。但啟用該選項也有一些限制，如果確實啟用了 session.auto_start，則不能將對象放入會話中，因為類定義必須在啟動會話之前加載以在會話中重建對象。
請求結(jié)束后所有注冊的變量都會被序列化。已注冊但未定義的變量被標(biāo)記為未定義。在之后的訪問中這些變量也未被會話模塊定義，除非用戶以后定義它們。
警告: 有些類型的數(shù)據(jù)不能被序列化因此也就不能保存在會話中。包括 resource 變量或者有循環(huán)引用的對象（即某對象將一個指向自己的引用傳遞給另一個對象）。
●注冊SESSION變量 ：
PHP5使用$_SESSION[‘xxx’]=xxx注冊SESSION全局變量。和GET，POST，COOKIE的使用方法相似。
   注意：session_register()，session_unregister ，session_is_registered在php5下不再使用，除非在php.ini里把register_globle設(shè)為on，不過出于安全考慮，強烈建議關(guān)閉register_globle。HTTP_SESSION_VARS也不提倡使用了，官方建議用$_SESSION代替之。例如：
Page1.php

Session_start();       //使用SESSION前必須調(diào)用該函數(shù)。
$_SESSION[‘name’]=”我是黑旋風(fēng)李逵!”;   //注冊一個SESSION變量
$_SESSION[‘passwd’]=”mynameislikui”;
$_SESSION[‘time’]=time();
echo '<br /><a href="page2.php">通過COOKIE傳遞SESSION</a>';   //如果客戶端支持cookie，可通過該鏈接傳遞session到下一頁。
echo '<br /><a href="page2.php?' . SID . '">通過URL傳遞SESSION</a>';//客戶端不支持cookie時，使用該辦法傳遞session.
?>
Page2.php
<?php
session_start();
echo $_SESSION['name']; //
echo $_SESSION['passwd'];   //
echo date('Y m d H:i:s', $_SESSION['time']);
echo '<br /><a href="page1.php">返回山一頁</a>';

有兩種方法傳遞一個會話 ID：
cookie
URL 參數(shù)
會話模塊支持這兩種方法。cookie 更優(yōu)化，但由于不總是可用，也提供替代的方法。第二種方法直接將會話 ID 嵌入到 URL 中間去。
PHP 可以透明地轉(zhuǎn)換連接。除非是使用 PHP 4.2 或更新版本，需要手工在編譯 PHP 時激活。在 Unix 下，用 --enable-trans-sid 配置選項。如果此配置選項和運行時選項 session.use_trans_sid 都被激活(修改php.ini)，相對 URI 將被自動修改為包含會話 ID。
●session_id
    session_id() 用于設(shè)定或取得當(dāng)前session_id。php5中既可以使用session_id()，也可以通過附加在url上的SID取得當(dāng)前會話的session_id和session_name。
    如果session_id()有具體指定值的話，將取代當(dāng)前的session_id值。使用該函數(shù)前必須啟動會話：session_start();
    當(dāng)我們使用session cookies時，如果指定了一個session_id()值，每次啟動session_start()都會往客戶端發(fā)送一個cookie值。不論當(dāng)前session_id是否與指定值相等。
session_id()如果沒有指定值，則返回當(dāng)前session_id();當(dāng)前會話沒有啟動的話，則返回空字符串。
 ●檢查session是否存在？
   在以往的php版本中通常使用session_is_register()檢查session是否存在，如果您使用$_SESSION[‘XXX’]=XXX來注冊會話變量，則session_is_register()函數(shù)不再起作用。你可以使用
isset($_SESSION[‘xxx’])來替代。
● 更改session_id  session_regenerate_id() 更改成功則返回true，失敗則返回false。
使用該函數(shù)可以為當(dāng)前session更改session_id，但不改變當(dāng)前session的其他信息。例如：

<?php
 session_start();
 $old_sessionid = session_id();
 session_regenerate_id();
 $new_sessionid = session_id();
 echo "原始 SessionID: $old_sessionid<br />";
 echo "新的 SessionID: $new_sessionid<br />";
 echo"<pre>";
 print_r($_SESSION);
 echo"</pre>";
 ?>

●session_name()返回當(dāng)前session的name或改變當(dāng)前session的name。如果要改變當(dāng)前session的name，必須在session_start()之前調(diào)用該函數(shù)。注意：session_name不能只由數(shù)字組成，它至少包含一個字母。否則會在每時每刻都生成一個新的session id.
session改名示例：

<?php
 $previous_name = session_name("WebsiteID");
 echo "新的session名為： $previous_name<br />";
 ?>

●如何刪除session？
1、unset ($_SESSION['xxx'])刪除單個session，unset($_SESSION['xxx']) 用來unregister一個已注冊的session變量。其作用和session_unregister()相同。 session_unregister()在PHP5中不再使用，可將之打入冷宮。
unset($_SESSION)  此函數(shù)千萬不可使用，它會將全局變量$_SESSION銷毀，而且還沒有可行的辦法將其恢復(fù)。用戶也不再可以注冊$_SESSION變量。
2、$_SESSION=array()刪除多個session
3、session_destroy()結(jié)束當(dāng)前的會話，并清空會話中的所有資源。。該函數(shù)不會unset(釋放)和當(dāng)前session相關(guān)的全局變量(globalvariables),也不會刪除客戶端的session cookie.PHP默認的session是基于cookie的，如果要刪除cookie的話，必須借助setcookie()函數(shù)。
    返回值：布爾值。
    功能說明：這個函數(shù)結(jié)束當(dāng)前的session，此函數(shù)沒有參數(shù)，且返回值均為true

   session_unset() 如果使用了$_SESSION，則該函數(shù)不再起作用。由于PHP5必定要使用$_SESSION，所以此函數(shù)可以打入冷宮了。

下面是PHP官方關(guān)于刪除session的案例：

<?php
 // 初始化session.
 session_start();
 /*** 刪除所有的session變量..也可用unset($_SESSION[xxx])逐個刪除。****/
 $_SESSION = array();
 /***刪除sessin id.由于session默認是基于cookie的，所以使用setcookie刪除包含session id的cookie.***/
 if (isset($_COOKIE[session_name()])) {
    setcookie(session_name(), '', time()-42000, '/');
 }
 // 最后徹底銷毀session.
 session_destroy();
 ?>

由此我們可以得出刪除Session的步驟：
①session_start()
②$_SESSION=array()/unset($_SESSION['xxx'])
③session_destroy()

● SESSION安全:
    會話模塊不能保證存放在會話中的信息只能被創(chuàng)建該會話的用戶看到。根據(jù)其存放的數(shù)據(jù)，還需要采取更多措施來主動保護會話的完整性。
    評估會話中攜帶的數(shù)據(jù)并實施附加保護措施通常要付出代價，降低用戶的方便程度。例如，如果要保護用戶免于受簡單的社交策略侵害（注：指在 URL 中顯示的會話 ID 會被別人在電腦屏幕上看到，或被別的網(wǎng)站通過 HTTP Referer 得到等），則應(yīng)該啟用 session.use_only_cookies。此情形下，客戶端必須無條件啟用 cookie，否則會話就不工作。
    有幾種途徑會將現(xiàn)有的會話 ID 泄露給第三方。泄露出的會話 ID 使第三方能夠訪問所有與指定 ID 相關(guān)聯(lián)的資源。第一，URL 攜帶會話 ID。如果連接到外部站點，包含有會話 ID 的 URL 可能會被存在外部站點的 Referer 日志中。第二，較主動的攻擊者可能會偵聽網(wǎng)段的數(shù)據(jù)包。如果未加密，會話 ID 會以明文方式在網(wǎng)絡(luò)中流過。對此的解決方式是在服務(wù)器上實施 SSL 并強制用戶使用。
    默認情況下，所有與特定會話相關(guān)的數(shù)據(jù)都被存儲在由 INI 選項 session.save_path 指定的目錄下的一個文件中。對每個會話會建立一個文件（不論是否有數(shù)據(jù)與該會話相關(guān)）。這是由于每打開一個會話即建立一個文件，不論是否有數(shù)據(jù)寫入到該文件中。注意由于和文件系統(tǒng)協(xié)同工作的限制，此行為有個副作用，有可能造成用戶定制的會話處理器（例如用數(shù)據(jù)庫）丟失了未存儲數(shù)據(jù)的會話。
        上面介紹函數(shù)下文將會用到，但還有一些有關(guān)session的函數(shù)也介紹一下：
 session_encode
    函數(shù)功能：sesssion信息編碼
    函數(shù)原型：string session_encode(void);
    返回值：字符串
    功能說明：返回的字符串中包含全局變量中各變量的名稱與值，形式如：a|s:12:"it is a test";c|s:4:"lala"; a是變量名 s:12代表變量a的值"it is a test的長度是12 變量間用分號”;”分隔。
 session_decode
    函數(shù)功能：sesssion信息解碼
    函數(shù)原型：boolean session_decode (string data)
    返回值：布爾值
    功能說明：這個函數(shù)可將session信息解碼，成功則返回邏輯值true
Php5 不再使用session_id，而是把它變成一個常量SID，并保存在cookie中。如果客戶端禁用了cookie，php會自動通過url自動傳動傳遞SID，其條件是設(shè)置php.ini中的session.use_trans_sid = 1。此時即使客戶端即使禁用了cookie也沒關(guān)系了。
   用 strip_tags() 來輸出 SID 以避免 XSS 相關(guān)的攻擊。

Session跨頁傳遞問題：
session跨頁傳遞需要考慮三種情況：
①客戶端禁用了cookie。
②瀏覽器出現(xiàn)問題，暫時無法存取cookie
③php.ini中的session.use_trans_sid = 0或者編譯時沒有打開--enable-trans-sid選項
為什么會這樣呢？下面解釋一下原因：
Session文件分為兩部分：session變量保存在服務(wù)器端（默認以文件方式存儲session）；而session id則以cookie形式保存在客戶端。(注意：session默認是基于cookie的)。
    當(dāng)用戶的瀏覽器向服務(wù)器提出請求時，同時發(fā)送包含session id的cookie(默認情況下)。服務(wù)器根據(jù)客戶端提供的session id來得到用戶的文件，即保存在服務(wù)器端的session變量值。事實上，session id可以使用客戶端的Cookie或者Http1.1協(xié)議的Query_String（就是訪問的URL的“?”后面的部分）來傳送給服務(wù)器，然后服務(wù)器讀取Session的目錄……。也就是說，session id是取得存儲在服務(wù)上的session變量的身份證。當(dāng)代碼session_start();運行的時候，就在服務(wù)器上產(chǎn)生了一個session文件，隨之也產(chǎn)生了與之唯一對應(yīng)的一個session id，定義session變量以一定形式存儲在剛才產(chǎn)生的session文件中。通過session id，可以取出定義的變量。跨頁后，為了使用session，你必須又執(zhí)行session_start();將又會產(chǎn)生一個session文件，與之對應(yīng)產(chǎn)生相應(yīng)的session id，用這個session id是取不出前面提到的第一個session文件中的變量的，因為這個session id不是打開它的“鑰匙”。如果在session_start();之前加代碼session_id($session id);將不產(chǎn)生新的session文件，直接讀取與這個id對應(yīng)的session文件。
    PHP中的session在默認情況下是使用客戶端的Cookie來保存session id的,所以當(dāng)客戶端的cookie出現(xiàn)問題的時候就會影響session了。必須注意的是：session不一定必須依賴cookie，這也是 session相比cookie的高明之處。當(dāng)客戶端的Cookie被禁用或出現(xiàn)問題時，PHP會自動把session id附著在URL中,這樣再通過session id就能跨頁使用session變量了。但這種附著也是有一定條件的，其一：“php.ini中的session.use_trans_sid = 1或者編譯時打開打開了--enable-trans-sid選項”；其二：運行PHP的服務(wù)器必須是unix/linux系統(tǒng)，windows不具備此項功能。
     明白了以上的道理，我們就可以得出解決session跨頁傳遞問題的三條途徑：
1、設(shè)置php.ini中的session.use_trans_sid = 1或者編譯時打開打開了--enable-trans-sid選項，讓PHP自動跨頁傳遞session id。
2、手動通過URL傳值、隱藏表單傳遞session id。
3、用文件、數(shù)據(jù)庫等形式保存session_id,在跨頁過程中手動調(diào)用。
下面舉例說明：
第一種情況：
page1.php

<?php
 session_start();
 $_SESSION['var1']="中華人民共和國";
 $url="<a href="."\"s2.php\">下一頁</a>";
 echo $url;
 ?>
 page2.php
 <?php
 session_start();
 echo "傳遞的session變量var1的值為：".$_SESSION['var1'];
 ?>

運行以上代碼，在客戶端cookie正常的情況下，應(yīng)該可以在得到結(jié)果“中華人民共和國”。
現(xiàn)在你手動關(guān)閉客戶端的cookie，再運行，可能得不到結(jié)果了吧。如果得不到結(jié)果，再“設(shè)置php.ini中的session.use_trans_sid = 1或者編譯時打開打開了--enable-trans-sid選項”，又得到結(jié)果“中華人民共和國”

第二種途徑：
s1.php

<?php
 session_start();
 $_SESSION['var1']="中華人民共和國";
 $sn = session_id();
 $url="<a href="."\"s2.php?s=".$sn."\">下一頁</a>";    //PHP5定義了一個常量SID來表示session_id()，$url還可以寫成$url='<a href="page2.php?' . SID . '">下一頁</a>';
 echo $url;
 ?>
 s2.php
 <?php
 session_id($_GET['s']);
 session_start();
 echo "傳遞的session變量var1的值為：".$_SESSION['var1'];
 ?>

第三種途徑：

login.html 
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"> 
<html>
 <head> 
 <title>Login</title> 
 <meta http-equiv="Content-Type" content="text/html; charset=??????"> 
 </head> 
 <body> 
 請登錄： 
 <form name="login" method="post" action="mylogin1.php"> 
 用戶名:<input type="text" name="name"><br> 
 口　令:<input type="password" name="pass"><br> <input type="submit" value="登錄">
  </form> 
  </body> 
  </html> mylogin1.php <?php $name=$_POST['name']; 
  $pass=$_POST['pass']; if(!$name || !$pass) {     
  echo "用戶名或密碼為空，請<a href=\"login.html\">重新登錄</a>";     
  die(); } if (!($name=="laogong" && $pass=="123")) 
  {     echo "用戶名或密碼不正確，請<a href=\"login.html\">重新登錄</a>";     
  die(); } //注冊用戶 ob_start(); 
  session_start(); 
  $_SESSION['user']= $name; $psid=session_id(); 
  $fp=fopen("e:\\tmp\\phpsid.txt","w+"); 
  fwrite($fp,$psid); 
  fclose($fp); //身份驗證成功，進行相關(guān)操作 echo "已登錄<br>"; 
  echo "<a href=\"mylogin2.php\">下一頁</a>"; ?> mylogin2.php <?php $fp=fopen("e:\\tmp\\phpsid.txt","r"); 
  $sid=fread($fp,1024); fclose($fp); session_id($sid); 
  session_start(); if(isset($_SESSION['user']) && $_SESSION['user']="laogong" ) {      
  echo "已登錄!"; } else {     //成功登錄進行相關(guān)操作     echo "未登錄，無權(quán)訪問";

感謝各位的閱讀！關(guān)于“PHP5中COOKIE與SESSION的示例分析”這篇文章就分享到這里了，希望以上內(nèi)容可以對大家有一定的幫助，讓大家可以學(xué)到更多知識，如果覺得文章不錯，可以把它分享出去讓更多的人看到吧！