PHPセッション無効解析データ収集の詳細説明

phpセッション無効解析

PHPの開発プロセス中に、セッションによって生成されたファイルが自動的にクリアできないという問題に頻繁に遭遇する人がいます。実際、クリアすることは実際には不可能ではありませんが、確率はあります。サイトへのアクセス数が十分に多い限り、これらのファイルは自動的に消去されます。アクセス数が比較的少なく、ファイルが見た目に良くない場合は、php.ini で設定することでセッション ファイルを自動的にクリアできます。具体的な設定は次のとおりです。上記の 2 つのパラメータは実際には 1/1000 の確率です
session.gc_pisor = 1000 を session.gc_pisor = 100 に変更します
完全なリアルタイムを実現したい場合は、このパラメータを 1 に変更できます。確率は 100% です

概要: すべての PHP リクエストは、「セッションのリサイクル」をトリガーする確率 (デフォルト値) が 1/100 です。 「セッションのリサイクル」が発生すると、/tmp/sess_* ファイルがチェックされ、最終変更時間が 1440 秒 (gc_maxlifetime の値) を超える場合、これらのファイルは削除されます。これは、これらのセッションが期限切れになったことを意味します。

1. セッションはサーバー側 (通常は PHP モジュールを備えた Apache) にどのように存在しますか? デフォルトでは、php はセッションを /tmp ディレクトリに保存し、ファイル名は sess_01aab840166fd1dc253e3b4a3f0b8381 のようになります。各ファイルはセッションに対応します。

session.gc_probability = 1
session.gc_pisor = 1000

2. セッションはクライアント側 (通常はブラウザ) にどのように存在しますか?


セッションはブラウザ側にあり、セッションID（サーバー側で生成された一意のID）を保存するだけで済みます。保存するには、Cookie と URL の 2 つの方法があります。セッション ID が Cookie に保存されている場合は、ブラウザーの Cookie に PHPSESID 変数があることがわかります。 URL で渡された場合、
index.php?PHPSESID=01aab840166fd1dc253e3b4a3f0b8381 の形式で URL が表示されます。 (サーバー側では、session.use_cookies を使用して、どのメソッドが使用されるかを制御します)

3. サーバー側では、PHP はセッション ファイルの有効期限が切れているかどうかをどのように判断しますか?


「現在」までの「最終変更時刻」が gc_maxlifetime (デフォルトは 1440) 秒を超える場合、セッション ファイルは次のセッションのリサイクル中に期限切れとみなされ、ファイルが変更されていない場合、セッション ファイルは削除されます。 (セッションは期限切れになります)。
簡単に言えば、Web サイトにログインし、1440 秒 (デフォルト値) 以内に操作がなかった場合、対応するセッションは期限切れになったと見なされます。
そこで、php.ini ファイルの gc_maxlifetime 変数を変更して、セッションの有効期限を延長します: (たとえば、有効期限を 86400 秒に変更します)

more /tmp/sess_01aab840166fd1dc253e3b4a3f0b8381
username|s:9:”jiangfeng”;admin|s:1:”0〃;

4. セッションの「リサイクル」はいつ行われますか?


デフォルトでは、php リクエストごとに 1/100 の確率でリサイクルが行われるため、単純に「100 php リクエストごとに 1 回のリサイクルが発生する」と理解できます。この確率は次のパラメータによって制御されます

session.gc_maxlifetime = 86400

#概率是gc_probability/gc_pisor
session.gc_probability = 1
session.gc_pisor = 100

cd /path/to/sessions; find -cmin +24 | xargs rm

セッション有効期限パラメータ


有効期限パラメータを設定します。主に session.gc_maxlifetime のパラメータを設定し、より安全に設定します。 2 つのパラメータ

ini_set('session.cookie_lifetime', 0); // 可用 print_r(session_get_cookie_params()); 观察
ini_set('session.gc_maxlifetime', 3600); // 可用 echo ini_get("session.gc_maxlifetime"); 观察

session_cookie_lifetime 设为 0 的话, 代表等到 browser 才把此 cookie 清掉.(session 和 browser cookie 是有相关的)

如果懒得想这些, 直接用下面的 function 就可以了
Session 过期时间程式

<?php
function start_session($expire = 0)
{
  if ($expire == 0) {
    $expire = ini_get(&#39;session.gc_maxlifetime&#39;);
  } else {
    ini_set(&#39;session.gc_maxlifetime&#39;, $expire);
  }
  if (empty($_COOKIE[&#39;PHPSESSID&#39;])) {
    session_set_cookie_params($expire);
    session_start();
  } else {
    session_start();
    setcookie(&#39;PHPSESSID&#39;, session_id(), time() + $expire);
  }
}
?>