一招解決PHP5的筆記之(COOKIE與SESSION篇)（分享）
- 慕斯轉載
- 2021-06-09 09:43:582388瀏覽
這篇文章給大家分享一招解決PHP5的筆記之(COOKIE與SESSION篇)（分享）應用有一定的參考價值，有需要的朋友可以參考一下，希望對大家有所幫助。
1、HTTP協定本身是無狀態的。
我們上網都要靠HTTP協定傳遞訊息。例如我們在瀏覽器裡鍵入：www.bokee.com這個網址並回車，你會發現網址會變成：http://www.bokee.com，原因就是瀏覽的網頁是基於http協定的。 http協定無法記錄使用者經常上哪些網站，有什麼嗜好，也無法記錄使用者的ID帳號和密碼。這就是所謂的HTTP協定無狀態。 HTTP協定本身是無狀態的，這與HTTP協定本來的目的是相符的，客戶端只需要簡單的向伺服器請求下載某些文件，無論是客戶端還是伺服器都沒有必要紀錄彼此過去的行為，每一次請求之間都是獨立的，好比一個顧客和一個自動販賣機或一個普通的（非會員制）大賣場之間的關係一樣，你認得它們，它們則肯定認不得你。
2、怎麼理解cookie和session？
由於cookie和session關係密切，這裡我們一併介紹。
打個比方：在河南時，我常到一家熟食店買饞嘴鴨，該店老闆為了促進銷售，特發布「每購滿10隻即可免費贈送一隻」的優惠措施。除了家裡有什麼紅白喜事要颯客之外，應該不會有人一次買10隻烤鴨吧？所以老闆得想個法子來記錄顧客的消費數量，這裡總共有三種方案：
Ⅰ、老闆記住每個顧客的消費數量，等到顧客消費滿10隻的時候自動奉送一隻。這好比HTTP協定本身是有狀態的，可以記住顧客的活動行為。但遺憾的是，出於種種考慮http協議本身是不能有狀態的，老闆自個也沒有這麼超常的記憶力，故這種方案行不通！
Ⅱ、老闆發給顧客一張積分卡，上面記錄著消費的數量，通常還有個有效期限。每次買烤鴨時，如果顧客出示這張卡片，老闆就知道顧客曾經光顧過小店。這種做法就是在客戶端保持狀態，好比是cookie技術。開啟（windows系統）C:\Documents and Settings\使用者名稱\Cookies，你會發現一些*.txt格式的小文件，這就是你瀏覽某些網站，它們發給你的「積分卡」(cookies)。
Ⅲ、老闆發給顧客一張會員卡，除了卡號之外什麼資訊也不紀錄，每次買烤鴨時，如果顧客出示該卡片，則老闆搬出店裡的劃名冊，找到你的卡號並加1個積分。這種做法就是在伺服器端保持狀態。
好比是session技術。
cookie 和session最大的差別在於： cookie是把積分卡發給顧客，上面記錄了顧客所有的消費資訊。 Session則是把只有卡號(session id)的積分卡發給顧客，自家記錄了顧客所有的消費資訊。 Cookie是保存在客戶端的；session是保存在伺服器端，而session id則是保存在客戶端，通常也是一個cookie小文件，由於這個小文件除了session id(好比卡號)外什麼也沒有，因此比cookie安全多了。
3、cookie和session有什麼用？
常見的用法，例如在有些網站下載東西需要會員先登陸。 http協議本身是無狀態的，無法得知顧客是否已經登陸，怎麼辦呢？ cookie和session就可以知道。再例如網路購物，購物車怎麼知道顧客挑選過哪些商品？ cookie和session也可以記錄。總而言之，cookie和session就是能夠記錄顧客狀態的技術，儘管二者屬於不同的技術，但只要cookie能做到的，session也能做到！
COOKIE篇
1、什麼是cookie？
0Cookie技術是一個非常有爭議的技術，自經誕生它就成了廣大網路使用者和Web開發人員的一個爭論焦點。有一些網路用戶，甚至包括一些資深的Web專家也對它的產生和推廣感到不滿，這倒不是因為Cookie技術的功能太弱或別的技術性能上的原因，而僅僅是因為他們覺得Cookie的使用，對網路使用者的隱私構成了危害。因為Cookie是由網路伺服器儲存在使用者瀏覽器上的小文字文件，它包含有關使用者的資訊（如身分識別號碼、密碼、使用者在網路網站上購物的方式或使用者造訪網站的次數）。
那麼Cookie技術究竟如何呢？是否真的為網路使用者帶來了個人隱私的危害呢？還是讓我們看了下面的內容，再做回答吧。
在WEB科技發展史上，Cookie技術的出現是一個重大的改變。最早是Netscape在它的Netscape Navigator 瀏覽器中引進了Cookie技術，從那時起，World Wide Web 協會就開始支援Cookie標準。以後又經過微軟的大力推廣（因為微軟的IIS Web伺服器所採用的ASP技術很大程度的使用了Cookie技術），也就是在微軟的Internet Explorer瀏覽器中完全支援Cookie技術。到現在，絕大多數的瀏覽器都支援Cookie技術，或至少相容於Cookie技術的使用。
依照Netscape官方文件中的定義，Cookie是在HTTP協定下，伺服器或腳本可以維護客戶工作站上資訊的一種方式。 Cookie是由網頁伺服器儲存在使用者瀏覽器上的小文件，它可以包含有關使用者的資訊（如身分識別號碼、密碼、使用者在網路網站購物的方式或使用者造訪網站的次數）。無論何時使用者連結到伺服器，Web網站都可以存取Cookie資訊。
如果你使用的是windows系統，那麼請開啟C:\Documents and Settings\使用者名稱\Cookies，你會發現該目錄下有好多*.txt格式的小檔案。那就是cookie檔。當然，在該目錄下你也可能什麼都發現不了，那時因為你新裝了系統或從未瀏覽過因特網，也或者你的瀏覽器禁用了cookie。否則該目錄下總會有點東西的。
通俗地講，瀏覽器用一個或多個限定的檔案來支援Cookie。這些文件在使用Windows作業系統的機器上叫做Cookie文件，在Macintosh 機器上叫做magic Cookie 文件，這些文件被網站用來在上面儲存Cookie資料。網站可以在這些Cookie檔案中插入訊息，這樣對有些網路使用者就有些副作用。有些使用者認為這造成了對個人隱私的侵犯，更糟的是，有些人認為Cookie是對個人空間的侵占，而且會對使用者的電腦帶來安全性的危害。
目前有些Cookie是暫時的，有些則是持續的。臨時的Cookie只在瀏覽器上保存一段規定的時間，一旦超過規定的時間該Cookie就會被系統清除。例如在PHP中Cookie被用來追蹤使用者程序直到使用者離開網站。持續的Cookie則保存在使用者的Cookie檔案中，下次使用者返回時，仍可對它進行呼叫。
在Cookie檔案中儲存Cookie，有些使用者會過度認為這會帶來很大的問題。主要是有些使用者擔心Cookie會追蹤使用者上網的習慣，譬如使用者喜愛到那些類型的網站、愛從事些什麼活動等。害怕這種個人資訊一旦落入一些別有用心的傢伙手中，那麼個人也就可能成為一大堆廣告垃圾的對象，甚至遭到意外的損害。不過，這種擔心壓根兒不會發生，因為網站以外的使用者是無法跨越網站來取得Cookie資訊的。所以想以此目的來應用Cookie是不可能的。不過，由於一些用戶錯誤的理解以及“以訥傳証”，一些瀏覽器開發人員別無選擇，只好作出相適的響應（例如Netscape Navigator4.0和Internet Explorer3.0都提供了屏蔽Cookie的選項）。個人認為，無風不起浪，如果網站程式設計師沒有嚴謹思路的話，cookie確實也存在些許安全問題，不過這些瑕疵並不足以掩蓋cookie的優秀品質，大多數人還是非常樂意使用它的。
對Cookie技術期待了這麼久的結果是，迫使許多瀏覽器開發人員在它們的瀏覽器中提供了對Cookie的彈性控制功能。例如，目前的兩大主流瀏覽器Netscape Navigator 和Internet Explorer是這樣處理Cookie的:Netscape Navigator4.0不但可以接受Cookie進行警告，而且還可以屏蔽掉Cookie；InternetExplorer3.0也可以屏蔽Cookie，但在Internet Explorer4 .0中就只能進行接受警告而沒有提供屏蔽選項，不過在Internet Explorer4.0之後的更新版本中又加入了屏蔽Cookie的功能選項。
另外，最新的技術甚至已經可以在無法封鎖Cookie的瀏覽器上進行Cookie的屏蔽了。例如，可以透過將Cookie檔案設定成不同的類型來限制 Cookie的使用。但是，非常不幸地是，如果你想完全封鎖Cookie的話，肯定會因此拒絕許多的網站頁面。因為現今已經有許多Web網站開發人員愛上了Cookie技術的強大功能，例如Session物件的使用就離不開Cookie的支援。
2、Cookie運作原理？
當客戶造訪某個基於PHP技術的網站時，在PHP中可以使用setcookie函數產生一個cookie，系統處理把這個cookie送到客戶端並保存在C:\Documents and Settings\用戶名\Cookies目錄下。 cookie是 HTTP標頭的一部分, 因此setcookie函數必須在任何內容送到瀏覽器之前呼叫。這種限制與header()函數一樣(如需了解head()函數，請自行查閱)。當客戶再次造訪該網站時，瀏覽器會自動把C:\Documents and Settings\用戶名\Cookies目錄下與該網站對應的cookie發送到伺服器，伺服器則將從客戶端傳來的cookie將自動地轉化成一個PHP變數。在PHP5中，客戶端發出的cookie將會轉換成全域變數。你可以透過$_COOKIE[‘xxx’]讀取。
儘管今天仍有一些網路使用者對於Cookie的爭論樂此不倦，但是對於絕大多數的網路使用者來說還是傾向於接受Cookie的。因此，我們盡可以放心地使用Cookie技術來開發我們的WEB頁面。
3、Cookie常見函數
● SetCookie 函數建立了一個Cookie，並且把它附加在HTTP頭的後面。必須注意的一點是：Cookie是HTTP協定頭的一部分，用於瀏覽器和伺服器之間傳遞訊息，所以必須在任何屬於HTML檔案本身的內容輸出之前調用SetCookie函數，呼叫函數前即使有空格、空白行都不行。如果setCookie()認了第二，就沒有哪個元素敢認第一。使用setcookie()函數的前提是客戶瀏覽器支援cookie，如果客戶將之停用的話，setcookie()也就英雄無用武之地了。
int SetCookie(string name, string value, int expire, string path, string domain, int secure,bool httponly);
參數說明：
name;設定cookie變數的名稱。
value;設定cookie的值。
expire;設定cookie過期時間。如果要把cookie儲存為瀏覽器流程，即瀏覽器關閉後就失效。那麼可以直接把expiretime設為0。 Eg:setcookie(“name”,”value”,0)。該參數不設定的話，關閉瀏覽器也能結束一個cookie。
path:表示web伺服器上的目錄,預設為被呼叫頁面所在目錄. 這裡還有一點要說明的，例如你的網站有幾個不同的目錄(例如一個購物目錄，一個論壇目錄)，那麼如果只用不帶路徑的Cookie的話，在一個目錄下的頁面裡設的Cookie在另一個目錄的頁面裡是看不到的，也就是說，Cookie是面向路徑的。實際上，即使沒有指定路徑，WEB伺服器會自動傳遞目前的路徑給瀏覽器的，指定路徑會強制伺服器使用設定的路徑。解決這個問題的方法是在呼叫 SetCookie時加上路徑和域名，域名的格式可以是“http://www.phpuser.com/”，也可是“.phpuser.com”。 SetCookie函數裡表示value的部分，在傳遞時會自動被encode，也就是說，如果value的值是「test value」傳遞時就變成了「test value”，跟URL的方法一樣。當然，對於程式來說這是透明的，因為在PHP接收Cookie的值時會自動將其decode。
domain:cookie可以使用的網域名稱,預設為被呼叫頁面的網域名稱。這個網域必須包含兩個".",所以如果你指定你的頂級網域,你必須用".mydomain.com" 。設定網域後，必須採用該網域存取網站cookie才有效。如果你使用多個網域存取該頁，那麼這個地方可以為空或存取這個cookie的網域都是一個網域下面的。
secure:如果設為"1"，表示cookie只能被使用者的瀏覽器認為是安全的伺服器所記住。
除了name之外所有的參數都是可選擇的。 value,path,domain三個參數可以用空字串""代換，表示沒有設定；expire 和 secure兩個參數是數值型的，可以用0表示。 expire參數是一個標準的Unix時間標記，可以用time()或mktime()函數取得，以秒為單位。 secure參數表示這個Cookie是否透過加密的HTTPS協定在網路上傳輸。
httponly:如果設為1，則表示cookie只能被http協定所使用，任何腳本語言，例如javascrīpt是不能取得PHP所創建的 cookie的，這就有效削弱了來自XSS的攻擊。 (注意了：這是PHP5才有的選項，咱也沒有用過。看了官方手冊嘗試著翻譯的，如有疑問，請參考官方手冊。)
目前設定的Cookie不是立即生效的，而是要等到下一個頁面或刷新後才能看到。這是由於在設定的這個頁面裡Cookie由伺服器傳遞給客戶瀏覽器，在下一個頁面或刷新後瀏覽器才能把Cookie從客戶的機器取出傳回伺服器的原因。
小道訊息
16歲德國學生透過cookie破解Hotmail
德國16歲學生Adriaan Graas對於網路安全以及Web開發很有興趣，他也發現了Hotmail破解之道。在一周多之後的今天，微軟還未修復該漏洞。
這名小駭客的想法很簡單，當使用者登陸Hotmail時，系統將會產生一個cookie方便下次登陸。由於該cookie並未綁定IP，因此駭客可以假冒這些cookie並用於登陸，甚至不需要知道受害者的密碼甚至email地址。透過XSS駭客可以插入一段javascrīpt程式碼，利用log scrīpt將cookie傳送到某個web伺服器，腳本可以透過PHP，ASP，CGI等語言編寫。
Cookie應用案例：
●建立一個cookie:
SetCookie()
●建立cookie陣列：
其一：
SetCookie(" CookieArray[]", "Value 1");
SetCookie("CookieArray[]", "Value 2");
其二：
SetCookie("CookieArray[0]", "Value 1" );
SetCookie("CookieArray[1]", "Value 2");
● 接收和處理Cookie
PHP對Cookie的接收和處理的支援非常好，是完全自動的，跟GET,POST變數的原則一樣，特別簡單。
例如設定一個名為MyCookier的Cookie，PHP會自動從WEB伺服器接收的HTTP頭裡把它分析出來，並形成一個可直接使用的全域變量，名為$_COOKIE['MyCookie']，這個變量的值就是Cookie的值。數組同樣適用。
分別舉例如下：（假設這些都在先前的頁面裡設定過了，而且仍然有效）
echo $_COOKIE['MyCookie'];
取出cookie陣列的例子：
// 创建一个cookie数组
setcookie("cookie[three]", "cookiethree");
setcookie("cookie[two]", "cookietwo");
setcookie("cookie[one]", "cookieone");
// 页面刷新之后，用foreach提取cookie数组。
if (isset($_COOKIE['cookie'])) {
foreach ($_COOKIE['cookie'] as $name => $value) {
echo "$name : $value <br />\n";
}
}就這麼簡單。
●刪除Cookie
要刪除一個已經存在的Cookie，有兩個方法：
1、呼叫只帶有name參數的SetCookie，那麼名為這個name的Cookie將從關係戶機上刪除；
setcookie(“MyCookie”); //刪除MyCookie。
2、設定Cookie的失效時間為time()或time()-1//time()減多少沒有關係啦，只要是過期時間就行//，那麼這個Cookie在這個頁面的瀏覽完之後就被刪除了（其實是失效了）。例如：
setcookie(“MyCookie”,”Value”,time()-1); //刪除MyCookie。
要注意的是，當一個Cookie被刪除時，它的值在當前頁在仍然有效的。
若要將cookie儲存為瀏覽器流程，即瀏覽器關閉後就失效。那麼可以直接把expiretime設為0。例如:setcookie(“name”,”value”,0)。該參數不設定的話，關閉瀏覽器也能結束一個cookie。
Cookie注意事項
1、SetCookie()之前不能有任何html輸出，它認了第二，沒有哪個元素敢認第一，就是空格，空白行都不行。
2、 SetCookie()後，你在目前頁面上呼叫echo $_COOKIE["name"]不會有輸出。必須刷新或到下一個頁面才可以看到Cookie值。原因很簡單。 SetCookie()執行之後，往客戶端發送一個cookie，你不刷新或瀏覽下一個頁面，客戶端怎麼把cookie給你送回去呀？瀏覽器創建了一個Cookie後，對於每一個針對該網站的請求，都會在Header中帶著這個Cookie；不過，對於其他網站的請求Cookie是絕對不會跟著發送的。而且瀏覽器會這樣一直發送，直到 Cookie過期為止。
3、使用Cookie的限制。一個瀏覽器能創建的Cookie數量最多為30個，且每個不能超過4KB，每個WEB站點能設定的Cookie總數不能超過20個。 (這是書上看到的說法，應該是一個web站點能創建的Cookie不能超過30個吧，要不然，我機子裡的cookie少說也上百了，請達人指教！)
4 、 Cookie是儲存在客戶端的，使用者禁用了Cookie，你的Cookie自然也就沒作用！現在的瀏覽器，每當咱發送一個Cookie給客戶端，他就像看門狗一樣給攔截住了，並詢問用戶是否允許Cookie進門。天，用戶又不是專家，有幾個人知道啥叫Cookie呀？搞不好都當病毒拒於門外了。
SESSION篇
1、什麼是session？
Session的中文譯名叫做“會話”，其本來的含義是指有始有終的一系列動作/消息，比如打電話時從拿起電話撥號到掛斷電話這中間的一系列過程可以稱之為一個session。目前社會上對session的理解非常混亂：有時候我們可以看到這樣的話“在一個瀏覽器會話期間，...”，這裡的會話是指從一個瀏覽器視窗打開到關閉這個期間；也可以看到「使用者（客戶端）在一次會話期間」這樣一句話，它可能指使用者的一系列動作（一般情況下是同某個具體目的相關的一系列動作，例如從登入到選購商品到結帳登出這樣一個網上購物的過程；然而有時候也可能只是指一次連接；其中的差異只能靠上下文來推斷了。
然而當session一詞與網絡協議相關聯時，它又往往隱含了「面向連接」和/或「保持狀態」這樣兩個含義，「面向連接」指的是在通信雙方在通信之前要先建立一個通信的渠道，例如打電話，直到對方接了電話通信才能開始。「保持狀態」則是指通信的一方能夠把一系列的訊息關聯起來，使得訊息之間可以互相依賴，比如一個服務員能夠認出再次光臨的老顧客並且記得上次這個顧客還欠店裡一塊錢。這一類的例子有「一個TCP session」或「一個POP3 session」。
鑑於這種混亂已不可改變，要為session下個定義就很難有統一的標準。而在閱讀session相關資料時，我們也只有靠上下文來推斷理解了。不過我們可以這樣理解：例如我們打電話，從撥通的那一刻起到掛斷電話期間，因為電話一直保持著接通的狀態，所以把這種接通的狀態叫做session。它是訪客與整個網站互動過程中一直存在的公有變量，在客戶端不支援COOKIE的時候，為了確保資料正確、安全，就採用SESSION變數。造訪網站的來客會被分配一個唯一的識別符，即所謂的會話ID。它要麼存放在客戶端的cookie，要麼經由URL 傳遞。
SESSION的發明填補了HTTP協議的限制：HTTP協議被認為是無狀態協議，無法得知用戶的瀏覽狀態，當它在服務端完成回應之後，伺服器就失去了與該瀏覽器的聯繫。這與HTTP協議本來的目的是相符的，客戶端只需要簡單的向伺服器請求下載某些文件，無論是客戶端還是伺服器都沒有必要紀錄彼此過去的行為，每一次請求之間都是獨立的，好比一個顧客和一個自動販賣機或一個普通的（非會員制）大賣場之間的關係一樣。
因此透過SESSION(cookie是另一種解決辦法)記錄使用者的相關訊息，以供使用者再次以此身分對web伺服器提起請求時作確認。會話的發明使得一個使用者在多個頁間切換時能夠保存他的資訊。網站程式設計人員都有這樣的體會，每一頁中的變數是不能在下一頁中使用的(雖然form，url也可以實現，但這都是非常不理想的辦法)，而SESSION中註冊的變數就可以作為全域變數使用了。
那麼SESSION到底有什麼用呢？網上購物時大家都用過購物車，你可以隨時把你選購的商品加入購物車中，最後再去收銀台結帳。在整個過程中購物車一直扮演著臨時存貯被選商品的角色，用它追蹤用戶在網站上的活動情況，這就是SESSION的作用，它可以用於使用者身份認證，程序狀態記錄，頁面之間參數傳遞等。
SESSION 的實作中採用COOKIE技術，SESSION會在客戶端保存一個包含session_id(SESSION編號)的COOKIE；在伺服器端保存其他 session變量，例如session_name等等。當使用者請求伺服器時也把session_id一起傳送到伺服器，透過session_id提取所保存在伺服器端的變量，就能辨識出使用者是誰了。同時也不難理解為什麼SESSION有時會失效了。
当客户端禁用COOKIE时(点击IE中的“工具”—“Internet选项”，在弹出的对话框里点击“安全”—“自定义级别”项，将“允许每个对话COOKIE”设为禁用)，session_id将无法传递，此时SESSION失效。不过php5在linux/unix平台可以自动检查cookie状态，如果客户端设置了禁用，则系统自动把session_id附加到url上传递。windows主机则无此功能。
2、Session常见函数及用法？
●Session_start()：开始一个会话或者返回已经存在的会话。
说明：这个函数没有参数，且返回值均为true。如果你使用基于cookie的session(cookie-based sessions),那么在使用Session_start()之前浏览器不能有任何输出，否则会发生以下错误：
Warning: Cannot send session cache limiter - headers already sent (output started at /usr/local/apache/htdocs/cga/member/1.php:2)…………
你可以在php.ini里启动session.auto_start=1，这样就无需每次使用session之前都要调用session_start()。但启用该选项也有一些限制，如果确实启用了 session.auto_start，则不能将对象放入会话中，因为类定义必须在启动会话之前加载以在会话中重建对象。
请求结束后所有注册的变量都会被序列化。已注册但未定义的变量被标记为未定义。在之后的访问中这些变量也未被会话模块定义，除非用户以后定义它们。
警告: 有些类型的数据不能被序列化因此也就不能保存在会话中。包括 resource 变量或者有循环引用的对象（即某对象将一个指向自己的引用传递给另一个对象）。
●注册SESSION变量 ：
PHP5使用$_SESSION[‘xxx’]=xxx注册SESSION全局变量。和GET，POST，COOKIE的使用方法相似。
注意：session_register()，session_unregister ，session_is_registered在php5下不再使用，除非在php.ini里把register_globle设为on，不过出于安全考虑，强烈建议关闭register_globle。HTTP_SESSION_VARS也不提倡使用了，官方建议用$_SESSION代替之。例如：
Page1.php
Session_start(); //使用SESSION前必须调用该函数。 $_SESSION[‘name’]=”我是黑旋风李逵!”; //注册一个SESSION变量 $_SESSION[‘passwd’]=”mynameislikui”; $_SESSION[‘time’]=time(); echo '<br /><a href="page2.php">通过COOKIE传递SESSION</a>'; //如果客户端支持cookie，可通过该链接传递session到下一页。 echo '<br /><a href="page2.php?' . SID . '">通过URL传递SESSION</a>';//客户端不支持cookie时，使用该办法传递session. ?> Page2.php <?php session_start(); echo $_SESSION['name']; // echo $_SESSION['passwd']; // echo date('Y m d H:i:s', $_SESSION['time']); echo '<br /><a href="page1.php">返回山一页</a>';
有两种方法传递一个会话 ID：
cookie
URL 参数
会话模块支持这两种方法。cookie 更优化，但由于不总是可用，也提供替代的方法。第二种方法直接将会话 ID 嵌入到 URL 中间去。
PHP 可以透明地转换连接。除非是使用 PHP 4.2 或更新版本，需要手工在编译 PHP 时激活。在 Unix 下，用 --enable-trans-sid 配置选项。如果此配置选项和运行时选项 session.use_trans_sid 都被激活(修改php.ini)，相对 URI 将被自动修改为包含会话 ID。
●session_id
session_id() 用于设定或取得当前session_id。php5中既可以使用session_id()，也可以通过附加在url上的SID取得当前会话的session_id和session_name。
如果session_id()有具体指定值的话，将取代当前的session_id值。使用该函数前必须启动会话：session_start();
当我们使用session cookies时，如果指定了一个session_id()值，每次启动session_start()都会往客户端发送一个cookie值。不论当前session_id是否与指定值相等。
session_id()如果没有指定值，则返回当前session_id();当前会话没有启动的话，则返回空字符串。
●检查session是否存在？
在以往的php版本中通常使用session_is_register()检查session是否存在，如果您使用$_SESSION[‘XXX’]=XXX来注册会话变量，则session_is_register()函数不再起作用。你可以使用
isset($_SESSION[‘xxx’])来替代。
● 更改session_id session_regenerate_id() 更改成功则返回true，失败则返回false。
使用该函数可以为当前session更改session_id，但不改变当前session的其他信息。例如：
<?php session_start(); $old_sessionid = session_id(); session_regenerate_id(); $new_sessionid = session_id(); echo "原始 SessionID: $old_sessionid<br />"; echo "新的 SessionID: $new_sessionid<br />"; echo"<pre class="brush:php;toolbar:false">"; print_r($_SESSION); echo""; ?>
●session_name()返回当前session的name或改变当前session的name。如果要改变当前session的name，必须在session_start()之前调用该函数。注意：session_name不能只由数字组成，它至少包含一个字母。否则会在每时每刻都生成一个新的session id.
session改名示例：
<?php
$previous_name = session_name("WebsiteID");
echo "新的session名为： $previous_name<br />";
?>●如何删除session？
1、unset ($_SESSION['xxx'])删除单个session，unset($_SESSION['xxx']) 用来unregister一个已注册的session变量。其作用和session_unregister()相同。 session_unregister()在PHP5中不再使用，可将之打入冷宫。
unset($_SESSION) 此函数千万不可使用，它会将全局变量$_SESSION销毁，而且还没有可行的办法将其恢复。用户也不再可以注册$_SESSION变量。
2、$_SESSION=array()删除多个session
3、session_destroy()结束当前的会话，并清空会话中的所有资源。。该函数不会unset(释放)和当前session相关的全局变量(globalvariables),也不会删除客户端的session cookie.PHP默认的session是基于cookie的，如果要删除cookie的话，必须借助setcookie()函数。
返回值：布尔值。
功能说明：这个函数结束当前的session，此函数没有参数，且返回值均为true
session_unset() 如果使用了$_SESSION，则该函数不再起作用。由于PHP5必定要使用$_SESSION，所以此函数可以打入冷宫了。
下面是PHP官方关于删除session的案例：
<?php
// 初始化session.
session_start();
/*** 删除所有的session变量..也可用unset($_SESSION[xxx])逐个删除。****/
$_SESSION = array();
/***删除sessin id.由于session默认是基于cookie的，所以使用setcookie删除包含session id的cookie.***/
if (isset($_COOKIE[session_name()])) {
setcookie(session_name(), '', time()-42000, '/');
}
// 最后彻底销毁session.
session_destroy();
?>由此我们可以得出删除Session的步骤：
①session_start()
②$_SESSION=array()/unset($_SESSION['xxx'])
③session_destroy()
● SESSION安全:
會話模組無法保證存放在會話中的資訊只能被建立該會話的使用者看到。根據其存放的數據，還需要採取更多措施來主動保護會話的完整性。
評估會話中所攜帶的資料並實施附加保護措施通常要付出代價，降低使用者的便利性。例如，如果要保護使用者免於受簡單的社交策略侵害（註：指在URL 中顯示的會話ID 會被別人在電腦螢幕上看到，或被別的網站透過HTTP Referer 得到等），則應該啟用session.use_only_cookies。此情況下，用戶端必須無條件啟用 cookie，否則會話就無法運作。
有幾種方法會將現有的會話 ID 洩漏給第三方。洩漏的會話 ID 使第三方能夠存取所有與指定 ID 相關聯的資源。第一，URL 攜帶會話 ID。如果連線到外部站點，包含有會話 ID 的 URL 可能會被存在外部站點的 Referer 日誌中。第二，較主動的攻擊者可能會偵聽網段的資料包。如果未加密，會話 ID 會以明文方式在網路中流過。對此的解決方式是在伺服器上實施 SSL 並強制使用者使用。
預設情況下，所有與特定會話相關的資料都儲存在 INI 選項 session.save_path 指定的目錄下的一個檔案中。對每個會話會建立一個檔案（不論是否有資料與該會話相關）。這是由於每開啟一個會話即建立一個文件，不論是否有資料寫入到該文件中。注意由於和檔案系統協同工作的限制，此行為有個副作用，有可能造成使用者自訂的會話處理器（例如用資料庫）遺失了未儲存資料的會話。
上面介紹函數下文將會用到，但還有一些關於session的函數也介紹一下：
session_encode
函數功能：sesssion資訊編碼
# 函數原型：string session_encode(string session_encode( ## 傳回值：字串
功能說明：傳回的字串包含全域變數中各變數的名稱與值，形式如：a|s:12:"it is a
#test";c|s:4:"lala"; a是變數名稱s:12代表變數a的值"it is a test的長度是12 變數間用分號」;」分隔。 session_decode
函數功能：sesssion訊息解碼
函數原型：boolean session_decode (string data)
傳回值：布林值
# 則成功則為邏輯值或 true
Php5 不再使用session_id，而是把它變成常數SID，並保存在cookie中。如果客戶端停用了cookie，php會自動透過url自動傳動傳遞SID，其條件是設定php.ini中的session.use_trans_sid = 1。此時即使客戶端即使禁用了cookie也沒關係了。
用strip_tags() 來輸出SID 以避免XSS 相關的攻擊。
Session跨页传递问题：
session跨页传递需要考虑三种情况：
①客户端禁用了cookie。
②浏览器出现问题，暂时无法存取cookie
③php.ini中的session.use_trans_sid = 0或者编译时没有打开--enable-trans-sid选项
为什么会这样呢？下面解释一下原因：
Session文件分为两部分：session变量保存在服务器端（默认以文件方式存储session）；而session id则以cookie形式保存在客户端。(注意：session默认是基于cookie的)。
当用户的浏览器向服务器提出请求时，同时发送包含session id的cookie(默认情况下)。服务器根据客户端提供的session id来得到用户的文件，即保存在服务器端的session变量值。事实上，session id可以使用客户端的Cookie或者Http1.1协议的Query_String（就是访问的URL的“?”后面的部分）来传送给服务器，然后服务器读取Session的目录……。也就是说，session id是取得存储在服务上的session变量的身份证。当代码session_start();运行的时候，就在服务器上产生了一个session文件，随之也产生了与之唯一对应的一个session id，定义session变量以一定形式存储在刚才产生的session文件中。通过session id，可以取出定义的变量。跨页后，为了使用session，你必须又执行session_start();将又会产生一个session文件，与之对应产生相应的session id，用这个session id是取不出前面提到的第一个session文件中的变量的，因为这个session id不是打开它的“钥匙”。如果在session_start();之前加代码session_id($session id);将不产生新的session文件，直接读取与这个id对应的session文件。
PHP中的session在默认情况下是使用客户端的Cookie来保存session id的,所以当客户端的cookie出现问题的时候就会影响session了。必须注意的是：session不一定必须依赖cookie，这也是 session相比cookie的高明之处。当客户端的Cookie被禁用或出现问题时，PHP会自动把session id附着在URL中,这样再通过session id就能跨页使用session变量了。但这种附着也是有一定条件的，其一：“php.ini中的session.use_trans_sid = 1或者编译时打开打开了--enable-trans-sid选项”；其二：运行PHP的服务器必须是unix/linux系统，windows不具备此项功能。
明白了以上的道理，我们就可以得出解决session跨页传递问题的三条途径：
1、设置php.ini中的session.use_trans_sid = 1或者编译时打开打开了--enable-trans-sid选项，让PHP自动跨页传递session id。
2、手动通过URL传值、隐藏表单传递session id。
3、用文件、数据库等形式保存session_id,在跨页过程中手动调用。
下面举例说明：
第一种情况：
page1.php
<?php session_start(); $_SESSION['var1']="中华人民共和国"; $url="<a href="."\"s2.php\">下一页</a>"; echo $url; ?> page2.php <?php session_start(); echo "传递的session变量var1的值为：".$_SESSION['var1']; ?>
运行以上代码，在客户端cookie正常的情况下，应该可以在得到结果“中华人民共和国”。
现在你手动关闭客户端的cookie，再运行，可能得不到结果了吧。如果得不到结果，再“设置php.ini中的session.use_trans_sid = 1或者编译时打开打开了--enable-trans-sid选项”，又得到结果“中华人民共和国”
第二种途径：
s1.php
<?php session_start(); $_SESSION['var1']="中华人民共和国"; $sn = session_id(); $url="<a href="."\"s2.php?s=".$sn."\">下一页</a>"; //PHP5定义了一个常量SID来表示session_id()，$url还可以写成$url='<a href="page2.php?' . SID . '">下一页</a>'; echo $url; ?> s2.php <?php session_id($_GET['s']); session_start(); echo "传递的session变量var1的值为：".$_SESSION['var1']; ?>
第三种途径：
login.html
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<html>
<head>
<title>Login</title>
<meta http-equiv="Content-Type" content="text/html; charset=??????">
</head>
<body>
请登录：
<form name="login" method="post" action="mylogin1.php">
用户名:<input type="text" name="name"><br>
口 令:<input type="password" name="pass"><br> <input type="submit" value="登录">
</form>
</body>
</html> mylogin1.php <?php $name=$_POST['name'];
$pass=$_POST['pass']; if(!$name || !$pass) {
echo "用户名或密码为空，请<a href=\"login.html\">重新登录</a>";
die(); } if (!($name=="laogong" && $pass=="123"))
{ echo "用户名或密码不正确，请<a href=\"login.html\">重新登录</a>";
die(); } //注册用户 ob_start();
session_start();
$_SESSION['user']= $name; $psid=session_id();
$fp=fopen("e:\\tmp\\phpsid.txt","w+");
fwrite($fp,$psid);
fclose($fp); //身份验证成功，进行相关操作 echo "已登录<br>";
echo "<a href=\"mylogin2.php\">下一页</a>"; ?> mylogin2.php <?php $fp=fopen("e:\\tmp\\phpsid.txt","r");
$sid=fread($fp,1024); fclose($fp); session_id($sid);
session_start(); if(isset($_SESSION['user']) && $_SESSION['user']="laogong" ) {
echo "已登录!"; } else { //成功登录进行相关操作 echo "未登录，无权访问";推荐学习：《PHP视频教程》
以上是一招解決PHP5的筆記之(COOKIE與SESSION篇)（分享）的詳細內容。更多資訊請關注PHP中文網其他相關文章！