php session原理

http://blog.sina.com.cn/s/blog_610997850100qoth.html

一直在使用http://www.jzxue.com/tag/session/" target="_blank">session存储数据，一直没有好好总结一下session的使用方式以及其工作原理，今天在这里做一下梳理。
这里的介绍主要是基于php语言，其他的语言操作可能会有差别，但基本的原理不变。

1.在php中如何操作session:

session_start(); //使用该函数打开session功能

$_SESSION 　//使用预定义全局变量操作数据

使用unset($_SESSION['key']) //销毁一个session的值

简单地操作，一切都是由服务器实现；由于处理在后台，一切看起来也很安全。但是session采用什么样机制，又是怎样被实现，并且如何来保持会话的状态的呢？

2.session实现与工作原理

浏览器和服务器采用http无状态的通讯，为了保持客户端的状态，使用session来达到这个目的。然而服务端是怎么样标示不同的客户端或用户呢？
这里我们可以使用生活中的一个例子，假如你参加一个晚会，认识了很多人，你会采取什么方式来区分不同的人呢！你可能根据脸型，也有可能根据用户的名字，
或者人的身份证，即采用一个独一无二的标示。在session机制中，也采用了这样的一个唯一的session_id来标示不同的用户，不同的是：浏览器每次请求都会带上
由服务器为它生成的session_id.

简单介绍一下流程：当客户端访问服务器时，服务器根据需求设置session，将会话信息保存在服务器上，同时将标示session的session_id传递给客户端浏览器，
浏览器将这个session_id保存在内存中(还有其他的存储方式，例如写在url中)，我们称之为无过期时间的cookie。浏览器关闭后，这个cookie就清掉了，它不会存在用户的cookie临时文件。
以后浏览器每次请求都会额外加上这个参数值，再服务器根据这个session_id，就能取得客户端的数据状态。

如果客户端浏览器意外关闭，服务器保存的session数据不是立即释放，此时数据还会存在，只要我们知道那个session_id,就可以继续通过请求获得此session的信息；但是这个时候后台的session还存在，但是session的保存有一个过期
时间，一旦超过规定时间没有客户端请求时，他就会清除这个session。

下面介绍一下session的存储机制，默认的session是保存在files中，即以文件的方式保存session数据。在php中主要根据php.ini的配置session.save_handler
来选择保存session的方式。

这里顺便说明一下，如果要做服务器的lvs，即多台server的话，我们一般使用memcached的方式session，否则会导致一些请求找不到session。
一个简单的memcache配置：
session.save_handler = memcache
session.save_path = "tcp://10.28.41.84:10001"

当然如果一定要使用files文件缓存，我们可以将文件作nfs，将所有的保存session文件定位到一个地方。

刚才讲返回给用户的session-id最终保存在内存中，这里我们也可以设置参数将其保存在用户的url中。



3.实例问题
现有系统A,B; 假设A系统是可以独立运行的web系统，即可以和浏览器直接处理session， B系统是基于mobile的，需要调用A系统的功能接口，
在保持A不改变的情况下，即登陆验证，session存储都不变的情况下，B系统能处理前端用户的请求。

这里提供的方案是使用PHP实现

在用户登陆成功后，将保存的session的session-id返回给B系统，然后Ｂ系统每次请求其他接口都带session_id。
Ａ系统在session_start前加上session_id(session_id);

这样B系统就能安全的调用A

***************************************************************************************************************************************************************************************

众所周知，http协议是一个无状态协议，简单来说就是，web服务器是不知道现在连接上来的人到底是哪个人，为了满足选择性发送信息的需求，在http的基础上做了很多扩展来达到这个目的，如数字签名、cookie、session等。

web服务器或者web程序如何能够知道现在连接上来的是谁？要解决这个问题，首先需要在服务器端和客户端建立一一对应关系，下边我通过抓取http的内容来说明这种对应关系是如何建立的。
我使用的是一个叫做httplook的http包嗅探工具，然后在本地web服务器的根目录下建立一个叫test.php的文件，地址是：http://localhost/test.php，一切就绪以后我通过浏览器反复打开这个页面。


<?php

session_start();

if (isset($_SESSION['test_sess'])){

$_SESSION['test_sess']++;

}else{

$_SESSION['test_sess'] = 0;

}

echo $_SESSION['test_sess'];

?>;


以下是前两次向服务器发出的信息及服务器返回的信息
引用：原帖由 "第一次请求服务器" 发表：

GET /test.php HTTP/1.1
Accept: */*
Referer: http://localhost/
Accept-Language: zh-cn
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon; .NET CLR 1.1.4322)
Host: localhost
Connection: Keep-Alive


引用：原帖由 "服务器第一次返回" 发表：

HTTP/1.1 200 OK
Date: Fri, 26 Aug 2005 07:44:22 GMT
Server: Apache/2.0.54 (Win32) SVN/1.2.1 PHP/5.0.4 DAV/2
X-Powered-By: PHP/5.0.4
Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; path=/
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Content-Length: 1
Keep-Alive: timeout=15, max=99
Connection: Keep-Alive
Content-Type: text/html; charset=utf-8
Content-Language: Off


引用：原帖由 "第二次请求服务器" 发表：

GET /test.php HTTP/1.1
Accept: */*
Referer: http://localhost/
Accept-Language: zh-cn
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon; .NET CLR 1.1.4322)
Host: localhost
Connection: Keep-Alive
Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3


引用：原帖由 "服务器第二次返回" 发表：

HTTP/1.1 200 OK
Date: Fri, 26 Aug 2005 07:44:23 GMT
Server: Apache/2.0.54 (Win32) SVN/1.2.1 PHP/5.0.4 DAV/2
X-Powered-By: PHP/5.0.4
Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; path=/
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Content-Length: 1
Keep-Alive: timeout=15, max=98
Connection: Keep-Alive
Content-Type: text/html; charset=utf-8
Content-Language: Off



仔细对比这些输出，第二次请求比第一次请求多出来的就是：
Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3
这个header将会向服务器发送一个cookie信息，告诉服务器我有一个cookie，名字叫PHPSESSID，内容是bmmc3mfc94ncdr15ujitjogma3。
这个cookie是怎么来的呢？看第一次服务器返回的信息里边有：
Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; path=/
这是服务器向客户端浏览器写一个cookie，名字是PHPSESSID，值是bmmc3mfc94ncdr15ujitjogma3，这个值实际就是所谓的session_id。
继续看第二次向服务器发出的请求，仍然向服务器发送了PHPSESSID这个cookie

可以得到以下结论：
1、只要使用了session，就会通过cookie的方式向客户端浏览器发送session
2、每次向服务器发出请求的时候，本地浏览器会把cookie附带在请求信息中

说到这里，服务器端和客户端如何通过session做到一一对应的答案就很清楚了，明白了这个道理，对于使用session有很大帮助，请细细体会。