HTTP session cookie原理及應(yīng)用

1、HTTP session cookie原理及應(yīng)用博客分類： · Web PHP 的COOKIE    cookie 是一種在遠程瀏覽器端儲存數(shù)據(jù)并以此來跟蹤和識別用戶的機制。      PHP在http 協(xié)議的頭信息里發(fā)送cookie，因此  setcookie()函數(shù)必須在其它信息被輸出到瀏覽器前調(diào)用，這和對header()函數(shù)的限制類似。-    1.設(shè)置cookie:    a.可以用 setcookie()或

2、 setrawcookie()函數(shù)來設(shè)置 cookie。也可以通過向客戶端直接發(fā)送http頭來設(shè)置。    eg:Php代碼  1. $value = 'something from somewhere'  2. setcookie("TestCookie", $value); /* 簡單 cookie設(shè)置 */   3. setcookie("TestCook

3、ie", $value, time()+3600); /* 有效期 1個小時 */   4. setcookie("TestCookie", $value, time()+3600, "/rasmus/",  5. "", 1); /* 有效目錄 /rasmus,有效域名 及其所有子域名 */   

4、    設(shè)置多個 cookie  變量：setcookie('vara','value');  用數(shù)組來表示變量，但他的下標(biāo)不用引號。這樣就可以用$_COOKIEvara來讀取該COOKIE 變量。     b. 使用 header()設(shè)置cookie;     header("Set-Cookie: name=$value;path=$path;domain=;.");  

5、   eg:Php代碼  1. $value = 'something from somewhere'   2. header("Set-Cookie:name=$value");   -    2.讀取cookie:    直接用php  內(nèi)置超級全局變量$_COOKIE 就可以讀取瀏覽器端的cookie。     上面

6、例子中設(shè)置了cookie "TestCookie"，現(xiàn)在我們來讀取：     eg: Php代碼  1. print $_COOKIE'TestCookie'  -    3.刪除cookie     只需把有效時間設(shè)為小于當(dāng)前時間，和把值設(shè)置為空。例如：     eg:Php代碼  1. setcookie("name&

7、quot;, "", time()-1);       用header()類似。      note:     a.用setcookie()時有錯誤提示，可能是因為調(diào)用setcookie()前面有輸出或空格。也可能你的文檔是從其他字符集轉(zhuǎn)  換過來，文檔后面可能帶有 BOM 簽名(就是在文件內(nèi)容添加一些隱藏的BOM 字符)。解決的辦法就是使你的文檔不出現(xiàn)這種情況。還有通過使用ob_start()函

8、數(shù) 也能處理一點。     b.$_COOKIE 受magic_quotes_gpc 影響，可能自動轉(zhuǎn)義     c.使用的時候，有必要測試用戶是否支持cookie-     4.原理.     a.服務(wù)器通過隨著響應(yīng)發(fā)送一個http 的Set-Cookie 頭，在客戶機中設(shè)置一個cookie(多個cookie 要多個頭)。      b.客戶端自動向服務(wù)器端發(fā)送一個

9、http 的cookie 頭，服務(wù)器接收讀取。            HTTP/1.x 200 OK            X-Powered-By: PHP/5.2.1            Set-Cookie: TestCookie=something from

10、somewhere; path=/            Expires: Thu, 19 Nov 2007 18:52:00 GMT            Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0        &

11、#160;   Pragma: no-cache            Content-type: text/html    這一行實現(xiàn)了cookie 功能，收到這行后    Set-Cookie: TestCookie=something from somewhere; path=/      瀏覽器將在客戶端的磁盤上創(chuàng)建一個cookie 文件，并在里面寫

12、入：    TestCookie=something from somewhere;     這一行就是我們用 setcookie('TestCookie','something   from  somewhere','/'); 的結(jié)果。也就是用      header('Set-Cookie: TestCookie=something from somewhere; path=/'

13、);的結(jié)果。 -分割線- PHP 的SESSIONsession 使用過期時間設(shè)為0 的cookie，并且將一個稱為session ID 的唯一標(biāo)識符(一長串字符串)，在服務(wù)器端同步生成一些 session 文件(可以自己定義 session 的保存類型)，與用戶機關(guān)聯(lián)起來。web應(yīng)用程序存貯與這些 session 相關(guān)的數(shù)據(jù)，并且讓數(shù)據(jù)隨著用戶在頁面之間傳遞.訪問網(wǎng)站的來客會被分配一個唯一的標(biāo)識符，即所謂的 SESSION ID。它要么存放在客戶端的cookie，要么經(jīng)由  URL  傳遞.SESSION 允許用戶注冊任意數(shù)目的變量并保留給各個請求使用

14、。當(dāng)來客訪問網(wǎng)站時，PHP會自動（如果session.auto_start 被設(shè)為1）或在用戶請求時（由session_start()明確調(diào)用或session_register() 暗中調(diào)用）檢查請求中是否發(fā)送了特定的SESSION ID。如果是，則之前保存的環(huán)境就被重建。session最最核心的概念就是：網(wǎng)頁間跳轉(zhuǎn)的額外數(shù)據(jù)，保存在服務(wù)器，用一個id標(biāo)識，瀏覽器要維持session，需要每次提交都帶上這個id.-session id的傳遞有兩種方式:a.通過 cookie 傳送 SESSION ID使用 session_start()調(diào)用 session，服務(wù)器端在生成session 文件的

15、同時，生成 session ID 哈希值和默認值為PHPSESSID 的session name，并向客戶端發(fā)送變量為(默認的是)PHPSESSID(session name)，值為一個 128 位的哈希值。服務(wù)器端將通過該 cookie 與客戶端進行交互。session 變量的值經(jīng)php內(nèi)部序列化后保存在服務(wù)器機器上的文本文件中，和客戶端的變量名默認情況下為PHPSESSID 的coolie 進行對應(yīng)交互.即服務(wù)器自動發(fā)送了http  頭：header('Set-Cookie:  session_name()=session_id();  path=/&

16、#39;); 即setcookie(session_name(),session_id();  當(dāng)從該頁跳轉(zhuǎn)到的新頁面并調(diào)用session_start()后，PHP 將檢查與給定ID 相關(guān)聯(lián)的服務(wù)器端存貯的session 數(shù)據(jù)，如果沒找到，則新建一個數(shù)據(jù)集。b.通過URL傳送 session ID只有在用戶禁止使用cookie 的時候才用這種方法，因為瀏覽器cookie 已經(jīng)通用，為安全起見，可不用該方法。      <a href="p.php?<?php print session_name() ?

17、>=<?php print session_id() ?>">xxx</a>，也可以通過 POST 來傳遞 session 值。-如果客戶端禁止使用cookie,可以使用如下辦法:a、設(shè)置php.ini中的session.use_trans_sid = 1或者編譯時打開打開了-enable-trans-sid選項，讓PHP自動跨頁傳遞session id。 b、手動通過URL傳值、隱藏表單傳遞session id。 c、用文件、數(shù)據(jù)庫等形式保存session_id,在跨頁過程中手動調(diào)用。link: sessi

18、on也可以在禁用cookie的情況下使用：php.ini中session.use_cookies=1，改為0，session會保存在服務(wù)器端，而不是客戶端的cookie。可以通過session.save_path來查看服務(wù)器的session存放位置session的使用:eg: Php代碼  1. / page1.php   2.     session_start();   3.     echo '

19、;Welcome to page #1'  4.     /* 創(chuàng)建 session變量并給 session變量賦值 */   5.   6.     $_SESSION'favcolor' = 'green'   7.     $_SESSION&

20、#39;animal' = 'cat'   8.     $_SESSION'time' = time();  9.     / 如果客戶端使用 cookie,可直接傳遞 session到page2.php   10.    echo '<br /><a

21、 href="page2.php">page 2</a>'  11.     / 如果客戶端禁用 cookie   12.    echo '<br /><a href="page2.php?' . SID . '">page 2</a&g

22、t;'   13.     /* 14.     默認php5.2.1下,SID只有在 cookie被寫入的同時才會有值,如果該 session  15.     對應(yīng)的 cookie 已經(jīng)存在,那么 SID將為 (未定義)空  16.     */   

23、60;Php代碼  1. / page2.php   2.     session_start();  3.     print $_SESSION'animal' / 打印出單個 session   4.     var_dump($_SESSION); / 打印出page1.php傳過來的

24、 session值    刪除session:eg:  Php代碼  1. session_destroy();      / 第一步: 刪除服務(wù)器端 session文件,這使用   2. setcookie(session_name(),'',time()-3600);      /  第&

25、#160;二 步 : 刪 除 實 際 的session:  3. $_SESSION = array();     / 第三步: 刪除$_SESSION全局變量數(shù)組   4. ?>     -一個簡單的示例:php code:  Php代碼  1. session_start(); 

26、 2.   3. if (isset($_SESSION'test_sess')  4.   5.     $_SESSION'test_sess'+;  6.   7. else  8.   9.     $_SESSION'test_sess' = 0;  10. &

27、#160; 11.   12.   13. echo $_SESSION'test_sess'   使用的一個叫做httplook的http包嗅探工具來抓包: 第一次請求服務(wù)器:GET /test.php HTTP/1.1  Accept: */*  Referer: http:/localhost/  Accept-Language: zh-cn  

28、Accept-Encoding: gzip, deflate  User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon; .NET CLR 1.1.4322)  Host: localhost  Connection: Keep-Alive 服務(wù)器第一次返回:HTTP/1.

29、1 200 OK  Date: Fri, 26 Aug 2005 07:44:22 GMT  Server: Apache/2.0.54 (Win32) SVN/1.2.1 PHP/5.0.4 DAV/2  X-Powered-By: PHP/5.0.4  Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; p

30、ath=/  Expires: Thu, 19 Nov 1981 08:52:00 GMT  Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0  Pragma: no-cache  Content-Length: 1  Keep-Alive: timeo

31、ut=15, max=99  Connection: Keep-Alive  Content-Type: text/html; charset=utf-8  Content-Language: Off 第二次請求服務(wù)器:GET /test.php HTTP/1.1  Accept: */*  Referer: http:/localhost/  Accept-Language:

32、 zh-cn  Accept-Encoding: gzip, deflate  User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon; .NET CLR 1.1.4322)  Host: localhost  Connection: Keep-Aliv

33、e  Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3 服務(wù)器第二次返回:HTTP/1.1 200 OK  Date: Fri, 26 Aug 2005 07:44:23 GMT  Server: Apache/2.0.54 (Win32) SVN/1.2.1 PHP/5.0.4 DAV/2  X-Powered-By:

34、0;PHP/5.0.4  Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; path=/  Expires: Thu, 19 Nov 1981 08:52:00 GMT  Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0  Pragm

35、a: no-cache  Content-Length: 1  Keep-Alive: timeout=15, max=98  Connection: Keep-Alive  Content-Type: text/html; charset=utf-8  Content-Language: Off 仔細對比這些輸出，第二次請求比第一次請求多出來的就是： Cookie: PHPSESSID=bmmc

36、3mfc94ncdr15ujitjogma3 這個header將會向服務(wù)器發(fā)送一個cookie信息，告訴服務(wù)器我有一個cookie，名字叫PHPSESSID，內(nèi)容是bmmc3mfc94ncdr15ujitjogma3。 這個cookie是怎么來的呢？看第一次服務(wù)器返回的信息里邊有： Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; path=/ 這是服務(wù)器向客戶端瀏覽器寫一個cookie，名字是PHPSESSID，值是bmmc3mfc94ncdr15ujitjogma3，這個值實際就是所謂的session

37、_id。 繼續(xù)看第二次向服務(wù)器發(fā)出的請求，仍然向服務(wù)器發(fā)送了PHPSESSID這個cookie 可以得到以下結(jié)論： 1、只要使用了session，就會通過cookie的方式向客戶端瀏覽器發(fā)送session 2、每次向服務(wù)器發(fā)出請求的時候，本地瀏覽器會把cookie附帶在請求信息中 總結(jié):只要使用了session，就會通過cookie的方式向客戶端瀏覽器發(fā)送session 實際上session完全是一個抽象的概念,session真正要做的,是在除了http提供的get和post提供的參數(shù)之外,針對某個用戶(可能是個瀏覽器,或是臺電腦,甚

38、至是個ip),能保存額外的信息。如果我們不用系統(tǒng)提供的session，完全也可以傳遞數(shù)據(jù)，比如把我們原本要存入session的數(shù)據(jù)，序列化后再加密，形成一個字符串，在頁面上所有的url和form里傳遞。服務(wù)器收到頁面請求后，從get或post里取出機密串，揭開，還原數(shù)據(jù)，實際上和session要做的東西一個樣。只不過這種方式超級bt，要實現(xiàn)需要做太多額外的工作。 session從技術(shù)角度講，就是把在網(wǎng)頁鏈接之間，額外要存儲的數(shù)據(jù)，用一個id命名，保存在服務(wù)器端，而瀏覽器只需要每次get或post的適合，只提供這個id，就能獲得之前存儲的數(shù)據(jù)。php默認是用文件來保存數(shù)據(jù)的。unix下

39、，php一般會在/tmp下面，創(chuàng)建 "sess_"+$session_id 這樣的文件名，通過這個名字，就能直接找到session_id對應(yīng)的數(shù)據(jù)。 所以session最最核心的概念就是：網(wǎng)頁間跳轉(zhuǎn)的額外數(shù)據(jù)，保存在服務(wù)器，用一個id標(biāo)識，瀏覽器要維持session，需要每次提交都帶上這個id。 怎么能讓瀏覽器每次請求都能帶上這個id呢，笨辦法當(dāng)然是在每個url鏈接或form的post里都加個id的參數(shù)，有些webmail實際上就是這么做的。當(dāng)然更簡單的辦法就是通過cookie保存。但cookie方案還有個問題，如果瀏覽器不支持cookie怎么辦,上面也有陳述.上

40、述的session，是php4,5提供的session功能，要知道php4之前系統(tǒng)都沒有提供session功能！而且很多cgi程序，都是完全自己實現(xiàn)的session。php(4,5)提供的session，系統(tǒng)默認會用cookie來保存session_id 我之前一個項目，用戶都在內(nèi)網(wǎng)使用web。為了方便管理，直接把瀏覽器ip綁死到一個session，就是用瀏覽器ip地址代替了sessionid。這個方案里沒有cookie，但還算是session，應(yīng)為他沒脫出session的定義。 每次向服務(wù)器發(fā)出請求的時候，本地瀏覽器會把cookie附帶在請求信息中 實際上和se

41、ssion完全沒有關(guān)系，說的只是http協(xié)議里cookie的工作方式。這個cookie是session_start()函數(shù)寫的，我們也完全可以自己任意寫cookie，只要寫了，并且沒超過有效期，瀏覽器都能送。  Session文件分為兩部分：session變量保存在服務(wù)器端（默認以文件方式存儲session）；而session id則以cookie形式保存在客戶端。(注意：session默認是基于cookie的)。當(dāng)用戶的瀏覽器向服務(wù)器提出請求時，同時發(fā)送包含session id的cookie(默認情況下)。服務(wù)器根據(jù)客戶端提供的session id來得到用戶的文件，即保存

42、在服務(wù)器端的session變量值。事實上，session id可以使用客戶端的Cookie或者Http1.1協(xié)議的Query_String（就是訪問的URL的“?”后面的部分）來傳送給服務(wù)器，然后服務(wù)器讀取Session的目錄。也就是說，session id是取得存儲在服務(wù)上的session變量的身份證。當(dāng)代碼session_start();運行的時候，就在服務(wù)器上產(chǎn)生了一個session文件，隨之也產(chǎn)生了與之唯一對應(yīng)的一個session id，定義session變量以一定形式存儲在剛才產(chǎn)生的session文件中。通過session id，可以取出定義的變量。跨頁后，為了使用session，你

43、必須又執(zhí)行session_start();將又會產(chǎn)生一個session文件，與之對應(yīng)產(chǎn)生相應(yīng)的session id，用這個session id是取不出前面提到的第一個session文件中的變量的，因為這個session id不是打開它的“鑰匙”。如果在session_start();之前加代碼session_id($session id);將不產(chǎn)生新的session文件，直接讀取與這個id對應(yīng)的session文件。          PHP中的session在默認情況下是使用客戶端的Cookie來保存se

44、ssion id的,所以當(dāng)客戶端的cookie出現(xiàn)問題的時候就會影響session了。必須注意的是：session不一定必須依賴cookie，這也是session相比cookie的高明之處。當(dāng)客戶端的Cookie被禁用或出現(xiàn)問題時，PHP會自動把session id附著在URL中,這樣再通過session id就能跨頁使用session變量了。但這種附著也是有一定條件的，其一：“php.ini中的session.use_trans_sid = 1或者編譯時打開打開了-enable-trans-sid選項”；其二：運行PHP的服務(wù)器必須是unix/linux系統(tǒng)，windows不具備此項功能。&

45、#160;解決session跨頁面?zhèn)鬟f: 我們就可以得出解決session跨頁傳遞問題的三條途徑：            a、設(shè)置php.ini中的session.use_trans_sid = 1或者編譯時打開打開了-enable-trans-sid選項，讓PHP自動跨頁傳遞session id。            b、手動通過URL傳值、隱藏表單傳遞session id。   &

46、#160;        c、用文件、數(shù)據(jù)庫,memcache等形式保存session_id,在跨頁過程中手動調(diào)用。下面舉例說明：                  第一種情況：               &

47、#160;     page1.php                     <?php                     session_sta

48、rt();                     $_SESSION'var1'="中華人民共和國"                     $url="

49、;<a href=".""s2.php">下一頁</a>"                     echo $url;                 &

50、#160;   ?>                     page2.php                     <?php   

51、                  session_start();                     echo "傳遞的session變量var1的值為：".$_SESSION'var1'

52、;                     ?>               運行以上代碼，在客戶端cookie正常的情況下，應(yīng)該可以在得到結(jié)果“中華人民共和國”。       

53、60;       現(xiàn)在你手動關(guān)閉客戶端的cookie，再運行，可能得不到結(jié)果了吧。如果得不到結(jié)果，再“設(shè)置php.ini中的session.use_trans_sid = 1或者編譯時打開打開了-enable-trans-sid選項”，又得到結(jié)果“中華人民共和國”               第二種途徑：       

54、0;          s1.php                  <?php                  session_start(); &

55、#160;                $_SESSION'var1'="中華人民共和國"                  $sn = session_id();      

56、60;           $url="<a href=".""s2.php?s=".$sn."">下一頁</a>"    /PHP5定義了一個常量SID來表示session_id()，$url還可以寫成$url='<a href="page2.php?' . SID . '">下一頁</a>&#

57、39;                  echo $url;                  ?>            

58、0;     s2.php                  <?php                  session_id($_GET's');    

59、              session_start();                  echo "傳遞的session變量var1的值為：".$_SESSION'var1'       

60、;           ?>                                 第三種途徑：     

61、0;               login.html                     <!DOCTYPE HTML PUBLIC "-/W3C/DTD HTML 4.01 Transitional/EN"> 

62、                    <html>                        <head>   

63、0;                       <title>Login</title>                      &

64、#160;    <meta http-equiv="Content-Type" content="text/html; charset=?">                        </head>      

65、;                  <body>                             請登錄：  

66、;                         <form name="login" method="post" action="mylogin1.php">          

67、60;                   用戶名:<input type="text" name="name"><br>                   

68、60;          口令:<input type="password" name="pass"><br>                            

69、  <input type="submit" value="登錄">                           </form>           

70、;             </body>                     </html>             &

71、#160;    mylogin1.php                     <?php                     $name=$_POST&#

72、39;name'                     $pass=$_POST'pass'                     if(!$name | !$pass)

73、                         echo "用戶名或密碼為空，請<a href="login.html">重新登錄</a>"             

74、;             die();                                     

75、60;    if (!($name="laogong" && $pass="123")                          echo "用戶名或密碼不正確，請<a href="login.html">重新登錄<

76、/a>"                         die();                       

77、0;                  /注冊用戶                     ob_start();         

78、0;           session_start();                     $_SESSION'user'= $name;           

79、60;         $psid=session_id();                     $fp=fopen("e:tmpphpsid.txt","w+");         

80、            fwrite($fp,$psid);                     fclose($fp);             

81、0;       /身份驗證成功，進行相關(guān)操作                     echo "已登錄<br>"                     echo "<a href="mylogin2.php">