phpsession和cookie

关注

原创最新推荐文章于 2026-09-19 09:01:04 发布 959 阅读 AI 写同款· GEO 优化 ›

NGINX & PHP Cookie 会话中 PHPSESSID 缺少 HTTPOnly、Secure 属性解决方案基于安全的考虑，需要给cookie加上Secure和HttpOnly属性，HttpOnly比较好理解，设置HttpOnly=true的cookie不能被js获取到，无法用document.cookie打出cookie的内容。cookie中的Secure指的是安全性。在WEB应用中，对于敏感业务，如：登录或者付款，需要使用HTTPS来保证内容的传输安全，而在用户成功获得授权之后，获得的客户端身份cookie如果没有设置为Secure，那么很有可能会被非HTTPS页面拿到，从而造成重要的身份泄露。阅读详情

cookie和seesion一般都是放在一起讲，因为二者的关系很紧密，作用大致相同，但也有一定的区别，先介绍下cookie吧。

cookie是一种在客户浏览器端存储数据并以此来跟踪和识别用户的机制。保存的文件为文本文件，不过会加密处理。

当浏览器访问php页面时，服务器会把cookie的数据回送给http响应，当浏览器获取到该信息时，就会在客户端保存cookie的信息。

它一般在网站中有以下作用：

(1).记录访客的信息，比如访问网页的次数，或者记录用户的账号和密码实现自动登录

(2).可以在页面中传递值，这一个页面到另外一个页面，如果需要传变量过去就可以使用cookie传值

如何创建cookie：

bool setcookie(string name,string value,int expire,string path,string domain,int secure,boo httponly)

总共有7个参数：name 是创建的cookie的变量名，value是变量的值，expire是cookie的失效时间，path是cookie在服务器端的有效路径，domain是cookie的有效域名，secure是cookie是否只通过https连接有效，httponly代表是否只支持http传输(安全性问题，列举配置文件时说明)。请注意，cookie只适用于保存小数据。关于cookie的配置文件会放在seesion部分一起列举。

常用的就name,value,expire这三个参数，举个例子

setcookie("test","123","time()+60");

这是设置了一个名为test，值为123，存活时间为60秒的cookie。

读取cookie，按照上面的例子来：

$_COOKIE['test']

这样就可以读取到cookie的值了，不过事先最好用isset()函数判断一下是否有名为test的cookie

删除cookie：

如果没有设置cookie的失效时间，那么在关闭浏览器之后cookie便会自动被删除

setcookie("test","",time()-1);

将原来设置的cookie的值赋为空，然后时间设为负数就可以达到删除cookie的目的。
cookie的默认存储位置:C:\Users\[user name]\AppData\Roaming\Microsoft\Windows\Cookies

然后是session，专业一点的话来说，session是指一个终端用户与交互系统进行通信的时间间隔，通常指从注册进入系统到注销退出系统所经过的时间，因此，session实际上是一个特定的时间概念。session英文意思是“会话”,打开网站到关闭网站这一整个过程就叫一个session（注：关闭网站是指全部的网页都关闭，退出浏览器）。在网站开发中，session是服务器端技术，利用这个技术，服务器在运行的时候可以为每个用户在服务器端创建一个session文件，便于用户下次访问的时候再调出。比如在电商网站中，你登录你的账号之后，可以看到自己曾经浏览过的商品和购买的商品，有些还能看到上次登录的时间等，这些功能都是由session实现的。

session可以保存的数据类型有：string,integer,double,bool,array,object。

如何启动会话:

session_start();//证明要启用session了

如何注册并使用会话:

$_SESSION['username']=admin;//声明了一个名为username值为admin的变量，数组的用法

删除某一个会话:

unset($_SESSION['username']);//删除名为username的会话

删除多个会话:

$_SESSION=array();//这样就可以删除所有的会话

或者

session_destory;//删除所有会话

以上是session的最基本操作，接下来介绍关于session保存的时间的设置，也就是它的生命周期，说到这，我们不得不先说一下session在客户端和服务器端之间到底发生了什么，我登录电商网站的时候，凭什么服务器就把我的购买记录显示出来了而不是别人的又或者不是新创建一个session。

其实，当客户端申请创建session的时候，服务器端会验证客户端发送的请求中是否包含SESSID，相当于是个唯一标识，如果有，那证明客户端之前已经创建过session，然后就会通过SESSID把属于这个客户端的session读取出来使用，如果不包含，服务器端就会帮客户端创建一个新的session并生成一个SESSID保存在服务器端，然后将SESSID通过http协议返回。

session在服务器端保存的位置在php.ini中通过设置session.save_path可以修改，windows的默认路径在C:/Windows/Temp，linuxd默认在/tmp或/var/lib/php/session

，开头名都是SESS，可以搜索一下，如图：下划线后面的那一串字符就是SESSID了。

这张图片就是发送请求时通过cookie传递的SESSID的值

通过上面的讲解，我们对session有更深一步的了解了，那么重新回到刚才我们要探讨的session的生命周期的问题，session的生命周期可以通过修改php.ini中的session.gc_maxlifetime来增加或减少，但是它的时间并不是按照单纯的时间长度来计算，举个例子，假如session设置的生命周期是20分钟，不是过了20分钟，刚创建的session就失效了（请注意不是删除，文章下面会具体说明session的垃圾回收机制），而是过了20分钟没人使用，再失效，再极端一点，假如我在session创建了的第19分59秒用了一个这个session，那么这个session不会在下一秒失效，而是重新计时，再来20分钟，20分钟内，又使用了，再重新计时，如此反复，直到过了20分钟没人使用的时候才失效。从上面那张图中我们可以发现很有趣的一个现象，传递SESSID的方式居然是用cookie传送的。那么问题来了，假如用户端把cookie禁用了，那我们的session该怎么办？相当于每发送一次请求就会创建一个新的session。现在一般有有如下几种解决方法：

方法一：

通过GET方法，用表单或者超链接传递session_id，代码如下：

发送页面：

$sessid=session_id();
<form id="form" name="form" method="post" action="index.php?PHPSESSID=$sessid">

接收页面：

<?php
$sessName=session_name();  //获取session的名字，默认是PHPSESSID
$sessId=$_GET[$sessName];  //获取通过表单传递过来的SESSID
session_id($sessId);       //设置session的id为表单传递的SESSID
?>

方法二：

使用SID常量，SID的内容是：PHPSESSID=SESSID，相当于在表单中，action可以直接写为：