PHP cookie和session機制

各位大神我對cookie和session機制一直都搞的不是特別清楚，有沒有好的資料讓我學習學習，感激不盡

回覆內容：

各位大神我對cookie和session機制一直都搞的不是特別清楚，有沒有好的資料讓我學習學習，感激不盡

其實你帶著問題去搜尋引擎找, 會得出很多答案的.
cookie和session解決了什麼問題? 怎麼解決這個問題的? 其實搞清楚了這兩個問題, 它的運行機制你自然就會明白.

1. cookie和session解決了什麼問題?

彌補了http協議的天生缺陷, 無狀態的(無法辯認上個請求和下個請求是否來自同一個用戶).

1. 怎麼解決的?

在伺服器端保存一個key=>value的值, 並把這個key透過cookie進行傳送. 每次客戶端請求的時候, 把這個key帶到伺服器端, 伺服器就能區分請求是否來自同一用戶.

上面只是簡單地回答了cookie和session的機制. 具體的答案可以帶著這兩個問題去搜尋.

在你了解他們的實現原理之前，先區分好2者的角色。

Cookie－存在於瀏覽器之中的一種快取數據，可以被瀏覽器關閉（在設定裡）。如果瀏覽器關閉了Cookie，Cookie將無法使用。現在一般沒人關Cookie了。
既然Cookie是來自瀏覽器，實質上任何人都可以動你的Cookie。安全嗎？當然不安全。那這個時候該如何做到安全？請使用Session，而且沒有例外。

Session——顧名思義“會話”，它儲存在伺服器上，這有別於Cookie是儲存在使用者的瀏覽器裡。而它是基於Cookie的。如果Cookie無效，Session也會無法正常使用。因為Session會將自己的Session_id放在Cookie中。每次與網站伺服器通訊時，伺服器端的程式語言都可以取得Cookie中的這個session_id，從而讀取伺服器上儲存的session資料。
session_id是非常重要的東西。如果Cookie關閉後還希望Sesion有用怎麼辦？每一個請求都在header裡面帶一個kv，裡面提供了session_id。 。 。 BLABLABLA。 。 。我認為你現在還不需要學習這個，這只是題外話。

---

COOKIE－資料儲存在使用者目前使用的瀏覽器（換一個瀏覽器，之前的COOKIE又沒有了噢），安全性較弱

SESSION－資料儲存在伺服器，安全性強。換個瀏覽器，也會需要你重新登入。因為它依賴的cookie也因為瀏覽器的緣故不同了。

接下來，怎麼用Cookie和Session？你可以學習下。

session可以基於cookie實現,也可以基於get參數實現,雖然不安全.
看看下面用MySQL內存表實現會話存儲的例子就大概知道session和cookie的關係了.

<code>CREATE TABLE sessions (
    user_id int(10) unsigned NOT NULL,
    session text NOT NULL,
    md5 char(32) NOT NULL,
    PRIMARY KEY (user_id)
) ENGINE=MEMORY DEFAULT CHARSET=utf8;
其中:
user_id存储的是用户ID,作为主键.
session存储的是用户的会话数组经过serialize或json_encode后的字符串.
md5存储的是session字段的MD5值,用于实现Check And Set版本号乐观锁:
--读取会话
SELECT session, md5 --写入会话时需要用到这里查出来的md5,就是下面的$last_md5
FROM sessions WHERE user_id = $user_id
--写入会话
UPDATE sessions
SET session = $str, md5 = md5($str)
WHERE user_id = $user_id 
AND md5 = $last_md5 --检查MD5,确保session字段没有被修改过</code>

基於資料庫實現一套自訂的cookie會話機制.
這個cookie既要做到認證使用者,又要做到不能被偽造和破解.

<code>//保护用户密码的盐
$salt = sha1(uniqid($user_id.'_'.getmypid().'_'.mt_rand().'_', true));

//数据库保存的用户密码($pwd_user是用户输入的密码明文)
//可以先在浏览器端使用CryptoJS.MD5()哈希密码后传给服务器处理,
//保证服务器对用户密码明文的不知情,最好使用https加密传输避免被窃听和修改.
//数据库保存的用户密码($pwd_user是用户输入的密码明文)
$pwd_db = sha1($salt.sha1($pwd_user));
//password_hash返回值包含盐,这时不需要外部$salt参与.
//password_verify可实现耗时恒定的字符串比较避免时序攻击.
//$pwd_db = password_hash($pwd_user, PASSWORD_DEFAULT);

//cookie里的盐
//其中$global_salt是配置里定义的全局盐,用来保护用户的盐,一旦修改,所有用户的cookie都将失效.
$cookie_salt = sha1($global_salt.sha1($salt));

//最终生成的cookie内容
$cookie = base64_encode($user_id.'|'.$cookie_salt);
//如果你需要高安全性,还可以使用AES(MCRYPT_RIJNDAEL_256)对整个cookie的内容做一次加密.
//$cookie = mcrypt_aes($cookie, $key);

//设置cookie,这里把过期时间设为604800秒(60*60*24*7,一周)
setcookie('sessid', $cookie, time()+604800, '/', '', false, true);

//解密cookie
//$cookie = mdecrypt_aes($_COOKIE['sessid'], $key);

//解码分割后拿到里面的$user_id和$cookie_salt
//根据$user_id查询$salt拼出$cookie_salt,然后跟cookie里的$cookie_salt做对比,一致则通过cookie认证.
$cookie = explode('|', base64_decode($_COOKIE['sessid']));
list($user_id, $cookie_salt) = $cookie;</code>