freebuf
本文来源:
会话机制
Cookie/Session：在web应用中，常用的会话追踪机制是Cookie和Session。而Cookie是通过在浏览器里记录确定用户身份，Session在服务器端记录信息确定用户身份。Http协议：http协议本身是无状态的，也就是说我们无法通过http协议来确定该次请求的用户身份，所以，通常的做法是需要通过Cookie和Session机制确定会话用户身份。Cookie
简介:Cookie是存储在客户端的，用来记录信息。其实单纯来说，仅采用Cookie也是可以追踪用户会话，只是这样安全性会大大降低（例如：最粗暴的将用户登录的用户名、密码写入cookie，每次请求验证用户名密码，根据验证结果决定是否允许进行接下来的业务处理）。Cookie创建及如何发送给客户端：cookie创建：cookie由服务端创建（也就是服务端决定要往cookie写入什么内容）。在PHP中，当setCookie函数执行后，默认会将cookie写入到客户端中。setCookie('name', 'nameValue'); echo 'success'; 当在浏览器中执行上述代码时，会将cookie写入到浏览器中。
header('Access-Control-Allow-Origin: Child2B.B.com'); header('Access-Control-Allow-Credentials: true'); Session：
简介：在服务端保存用户信息，追踪用户的会话记录。原理分析：当浏览器通过http协议请求服务端时，服务端会为用户创建session。在创建session时，会检查是否包含一个唯一的会话id，即sessionId。（1）若有该sessionId，则表示已经为用户创建过会话，通过sessionId从session中获取用户信息，执行下面的业务处理；（2）若没有该sessionId，则表示还未创建过会话，服务端会创建session，为该session关联唯一的sessionId，将sessionId返回客户端。通常情况下，session会和cookie配合使用，即将session生成的sessionId通过cookie写入浏览器。浏览器在下次请求时，带入cookie，服务端通过cookie获取sessionId，进而获取session信息。禁用cookie的sessionId Url重写：当浏览器禁用cookie时，是没法通过cookie带入sessionId的，可以通过将sessionId附着在url中传入服务端。在PHP中当php.ini中的session.use_trans_sid = 1时，若浏览器禁用cookie会自动将sessionId附着在url上进行传递。PHP对session的处理方式：PHP默认通过文件的形式存储session，即生成sessionId时，相应服务器也会生成一个sess_sessionId的文件，在该文件中会存储session信息。PHP支持通过session_set_save_handler()函数设置支持的session驱动session_set_save_handler()函数，要求自定义的session处理类需要实现SessionHandlerInterface接口（或者是已经实现了该接口的sessionHandler）。例如：在tp5中，实现了三种驱动方式：redis/memcache/memcached。
会话机制小结：
总得来说，由于http协议的无状态，所以需要单独的会话追踪机制来保持用户会话，session是在服务端存储用户信息追踪会话，cookie是在客户端存储用户信息。session在服务端生成sessionId，通常做法是需要通过浏览器cookie来存储，配合使用来确定用户会话信息。
如侵权请私聊公众号删文
转载请注明来自网盾网络安全培训，本文标题：《Cookie、Session机制详解及PHP中Session处理》
