HTTP session cookie原理及应用

1、HTTP session cookie原理及应用博客分类： · Web PHP 的COOKIE    cookie 是一种在远程浏览器端储存数据并以此来跟踪和识别用户的机制。      PHP在http 协议的头信息里发送cookie，因此  setcookie()函数必须在其它信息被输出到浏览器前调用，这和对header()函数的限制类似。-    1.设置cookie:    a.可以用 setcookie()或

2、 setrawcookie()函数来设置 cookie。也可以通过向客户端直接发送http头来设置。    eg:Php代码  1. $value = 'something from somewhere'  2. setcookie("TestCookie", $value); /* 简单 cookie设置 */   3. setcookie("TestCook

3、ie", $value, time()+3600); /* 有效期 1个小时 */   4. setcookie("TestCookie", $value, time()+3600, "/rasmus/",  5. "", 1); /* 有效目录 /rasmus,有效域名 及其所有子域名 */   

4、    设置多个 cookie  变量：setcookie('vara','value');  用数组来表示变量，但他的下标不用引号。这样就可以用$_COOKIEvara来读取该COOKIE 变量。     b. 使用 header()设置cookie;     header("Set-Cookie: name=$value;path=$path;domain=;.");  

5、   eg:Php代码  1. $value = 'something from somewhere'   2. header("Set-Cookie:name=$value");   -    2.读取cookie:    直接用php  内置超级全局变量$_COOKIE 就可以读取浏览器端的cookie。     上面

6、例子中设置了cookie "TestCookie"，现在我们来读取：     eg: Php代码  1. print $_COOKIE'TestCookie'  -    3.删除cookie     只需把有效时间设为小于当前时间，和把值设置为空。例如：     eg:Php代码  1. setcookie("name&

7、quot;, "", time()-1);       用header()类似。      note:     a.用setcookie()时有错误提示，可能是因为调用setcookie()前面有输出或空格。也可能你的文档是从其他字符集转  换过来，文档后面可能带有 BOM 签名(就是在文件内容添加一些隐藏的BOM 字符)。解决的办法就是使你的文档不出现这种情况。还有通过使用ob_start()函

8、数 也能处理一点。     b.$_COOKIE 受magic_quotes_gpc 影响，可能自动转义     c.使用的时候，有必要测试用户是否支持cookie-     4.原理.     a.服务器通过随着响应发送一个http 的Set-Cookie 头，在客户机中设置一个cookie(多个cookie 要多个头)。      b.客户端自动向服务器端发送一个

9、http 的cookie 头，服务器接收读取。            HTTP/1.x 200 OK            X-Powered-By: PHP/5.2.1            Set-Cookie: TestCookie=something from

10、somewhere; path=/            Expires: Thu, 19 Nov 2007 18:52:00 GMT            Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0        &

11、#160;   Pragma: no-cache            Content-type: text/html    这一行实现了cookie 功能，收到这行后    Set-Cookie: TestCookie=something from somewhere; path=/      浏览器将在客户端的磁盘上创建一个cookie 文件，并在里面写

12、入：    TestCookie=something from somewhere;     这一行就是我们用 setcookie('TestCookie','something   from  somewhere','/'); 的结果。也就是用      header('Set-Cookie: TestCookie=something from somewhere; path=/'

13、);的结果。 -分割线- PHP 的SESSIONsession 使用过期时间设为0 的cookie，并且将一个称为session ID 的唯一标识符(一长串字符串)，在服务器端同步生成一些 session 文件(可以自己定义 session 的保存类型)，与用户机关联起来。web应用程序存贮与这些 session 相关的数据，并且让数据随着用户在页面之间传递.访问网站的来客会被分配一个唯一的标识符，即所谓的 SESSION ID。它要么存放在客户端的cookie，要么经由  URL  传递.SESSION 允许用户注册任意数目的变量并保留给各个请求使用

14、。当来客访问网站时，PHP会自动（如果session.auto_start 被设为1）或在用户请求时（由session_start()明确调用或session_register() 暗中调用）检查请求中是否发送了特定的SESSION ID。如果是，则之前保存的环境就被重建。session最最核心的概念就是：网页间跳转的额外数据，保存在服务器，用一个id标识，浏览器要维持session，需要每次提交都带上这个id.-session id的传递有两种方式:a.通过 cookie 传送 SESSION ID使用 session_start()调用 session，服务器端在生成session 文件的

15、同时，生成 session ID 哈希值和默认值为PHPSESSID 的session name，并向客户端发送变量为(默认的是)PHPSESSID(session name)，值为一个 128 位的哈希值。服务器端将通过该 cookie 与客户端进行交互。session 变量的值经php内部序列化后保存在服务器机器上的文本文件中，和客户端的变量名默认情况下为PHPSESSID 的coolie 进行对应交互.即服务器自动发送了http  头：header('Set-Cookie:  session_name()=session_id();  path=/&

16、#39;); 即setcookie(session_name(),session_id();  当从该页跳转到的新页面并调用session_start()后，PHP 将检查与给定ID 相关联的服务器端存贮的session 数据，如果没找到，则新建一个数据集。b.通过URL传送 session ID只有在用户禁止使用cookie 的时候才用这种方法，因为浏览器cookie 已经通用，为安全起见，可不用该方法。      <a href="p.php?<?php print session_name() ?

17、>=<?php print session_id() ?>">xxx</a>，也可以通过 POST 来传递 session 值。-如果客户端禁止使用cookie,可以使用如下办法:a、设置php.ini中的session.use_trans_sid = 1或者编译时打开打开了-enable-trans-sid选项，让PHP自动跨页传递session id。 b、手动通过URL传值、隐藏表单传递session id。 c、用文件、数据库等形式保存session_id,在跨页过程中手动调用。link: sessi

18、on也可以在禁用cookie的情况下使用：php.ini中session.use_cookies=1，改为0，session会保存在服务器端，而不是客户端的cookie。可以通过session.save_path来查看服务器的session存放位置session的使用:eg: Php代码  1. / page1.php   2.     session_start();   3.     echo '

19、;Welcome to page #1'  4.     /* 创建 session变量并给 session变量赋值 */   5.   6.     $_SESSION'favcolor' = 'green'   7.     $_SESSION&

20、#39;animal' = 'cat'   8.     $_SESSION'time' = time();  9.     / 如果客户端使用 cookie,可直接传递 session到page2.php   10.    echo '<br /><a

21、 href="page2.php">page 2</a>'  11.     / 如果客户端禁用 cookie   12.    echo '<br /><a href="page2.php?' . SID . '">page 2</a&g

22、t;'   13.     /* 14.     默认php5.2.1下,SID只有在 cookie被写入的同时才会有值,如果该 session  15.     对应的 cookie 已经存在,那么 SID将为 (未定义)空  16.     */   

23、60;Php代码  1. / page2.php   2.     session_start();  3.     print $_SESSION'animal' / 打印出单个 session   4.     var_dump($_SESSION); / 打印出page1.php传过来的

24、 session值    删除session:eg:  Php代码  1. session_destroy();      / 第一步: 删除服务器端 session文件,这使用   2. setcookie(session_name(),'',time()-3600);      /  第&

25、#160;二 步 : 删 除 实 际 的session:  3. $_SESSION = array();     / 第三步: 删除$_SESSION全局变量数组   4. ?>     -一个简单的示例:php code:  Php代码  1. session_start(); 

26、 2.   3. if (isset($_SESSION'test_sess')  4.   5.     $_SESSION'test_sess'+;  6.   7. else  8.   9.     $_SESSION'test_sess' = 0;  10. &

27、#160; 11.   12.   13. echo $_SESSION'test_sess'   使用的一个叫做httplook的http包嗅探工具来抓包: 第一次请求服务器:GET /test.php HTTP/1.1  Accept: */*  Referer: http:/localhost/  Accept-Language: zh-cn  

28、Accept-Encoding: gzip, deflate  User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon; .NET CLR 1.1.4322)  Host: localhost  Connection: Keep-Alive 服务器第一次返回:HTTP/1.

29、1 200 OK  Date: Fri, 26 Aug 2005 07:44:22 GMT  Server: Apache/2.0.54 (Win32) SVN/1.2.1 PHP/5.0.4 DAV/2  X-Powered-By: PHP/5.0.4  Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; p

30、ath=/  Expires: Thu, 19 Nov 1981 08:52:00 GMT  Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0  Pragma: no-cache  Content-Length: 1  Keep-Alive: timeo

31、ut=15, max=99  Connection: Keep-Alive  Content-Type: text/html; charset=utf-8  Content-Language: Off 第二次请求服务器:GET /test.php HTTP/1.1  Accept: */*  Referer: http:/localhost/  Accept-Language:

32、 zh-cn  Accept-Encoding: gzip, deflate  User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon; .NET CLR 1.1.4322)  Host: localhost  Connection: Keep-Aliv

33、e  Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3 服务器第二次返回:HTTP/1.1 200 OK  Date: Fri, 26 Aug 2005 07:44:23 GMT  Server: Apache/2.0.54 (Win32) SVN/1.2.1 PHP/5.0.4 DAV/2  X-Powered-By:

34、0;PHP/5.0.4  Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; path=/  Expires: Thu, 19 Nov 1981 08:52:00 GMT  Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0  Pragm

35、a: no-cache  Content-Length: 1  Keep-Alive: timeout=15, max=98  Connection: Keep-Alive  Content-Type: text/html; charset=utf-8  Content-Language: Off 仔细对比这些输出，第二次请求比第一次请求多出来的就是： Cookie: PHPSESSID=bmmc

36、3mfc94ncdr15ujitjogma3 这个header将会向服务器发送一个cookie信息，告诉服务器我有一个cookie，名字叫PHPSESSID，内容是bmmc3mfc94ncdr15ujitjogma3。 这个cookie是怎么来的呢？看第一次服务器返回的信息里边有： Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; path=/ 这是服务器向客户端浏览器写一个cookie，名字是PHPSESSID，值是bmmc3mfc94ncdr15ujitjogma3，这个值实际就是所谓的session

37、_id。 继续看第二次向服务器发出的请求，仍然向服务器发送了PHPSESSID这个cookie 可以得到以下结论： 1、只要使用了session，就会通过cookie的方式向客户端浏览器发送session 2、每次向服务器发出请求的时候，本地浏览器会把cookie附带在请求信息中 总结:只要使用了session，就会通过cookie的方式向客户端浏览器发送session 实际上session完全是一个抽象的概念,session真正要做的,是在除了http提供的get和post提供的参数之外,针对某个用户(可能是个浏览器,或是台电脑,甚

38、至是个ip),能保存额外的信息。如果我们不用系统提供的session，完全也可以传递数据，比如把我们原本要存入session的数据，序列化后再加密，形成一个字符串，在页面上所有的url和form里传递。服务器收到页面请求后，从get或post里取出机密串，揭开，还原数据，实际上和session要做的东西一个样。只不过这种方式超级bt，要实现需要做太多额外的工作。 session从技术角度讲，就是把在网页链接之间，额外要存储的数据，用一个id命名，保存在服务器端，而浏览器只需要每次get或post的适合，只提供这个id，就能获得之前存储的数据。php默认是用文件来保存数据的。unix下

39、，php一般会在/tmp下面，创建 "sess_"+$session_id 这样的文件名，通过这个名字，就能直接找到session_id对应的数据。 所以session最最核心的概念就是：网页间跳转的额外数据，保存在服务器，用一个id标识，浏览器要维持session，需要每次提交都带上这个id。 怎么能让浏览器每次请求都能带上这个id呢，笨办法当然是在每个url链接或form的post里都加个id的参数，有些webmail实际上就是这么做的。当然更简单的办法就是通过cookie保存。但cookie方案还有个问题，如果浏览器不支持cookie怎么办,上面也有陈述.上

40、述的session，是php4,5提供的session功能，要知道php4之前系统都没有提供session功能！而且很多cgi程序，都是完全自己实现的session。php(4,5)提供的session，系统默认会用cookie来保存session_id 我之前一个项目，用户都在内网使用web。为了方便管理，直接把浏览器ip绑死到一个session，就是用浏览器ip地址代替了sessionid。这个方案里没有cookie，但还算是session，应为他没脱出session的定义。 每次向服务器发出请求的时候，本地浏览器会把cookie附带在请求信息中 实际上和se

41、ssion完全没有关系，说的只是http协议里cookie的工作方式。这个cookie是session_start()函数写的，我们也完全可以自己任意写cookie，只要写了，并且没超过有效期，浏览器都能送。  Session文件分为两部分：session变量保存在服务器端（默认以文件方式存储session）；而session id则以cookie形式保存在客户端。(注意：session默认是基于cookie的)。当用户的浏览器向服务器提出请求时，同时发送包含session id的cookie(默认情况下)。服务器根据客户端提供的session id来得到用户的文件，即保存

42、在服务器端的session变量值。事实上，session id可以使用客户端的Cookie或者Http1.1协议的Query_String（就是访问的URL的“?”后面的部分）来传送给服务器，然后服务器读取Session的目录。也就是说，session id是取得存储在服务上的session变量的身份证。当代码session_start();运行的时候，就在服务器上产生了一个session文件，随之也产生了与之唯一对应的一个session id，定义session变量以一定形式存储在刚才产生的session文件中。通过session id，可以取出定义的变量。跨页后，为了使用session，你

43、必须又执行session_start();将又会产生一个session文件，与之对应产生相应的session id，用这个session id是取不出前面提到的第一个session文件中的变量的，因为这个session id不是打开它的“钥匙”。如果在session_start();之前加代码session_id($session id);将不产生新的session文件，直接读取与这个id对应的session文件。          PHP中的session在默认情况下是使用客户端的Cookie来保存se

44、ssion id的,所以当客户端的cookie出现问题的时候就会影响session了。必须注意的是：session不一定必须依赖cookie，这也是session相比cookie的高明之处。当客户端的Cookie被禁用或出现问题时，PHP会自动把session id附着在URL中,这样再通过session id就能跨页使用session变量了。但这种附着也是有一定条件的，其一：“php.ini中的session.use_trans_sid = 1或者编译时打开打开了-enable-trans-sid选项”；其二：运行PHP的服务器必须是unix/linux系统，windows不具备此项功能。&

45、#160;解决session跨页面传递: 我们就可以得出解决session跨页传递问题的三条途径：            a、设置php.ini中的session.use_trans_sid = 1或者编译时打开打开了-enable-trans-sid选项，让PHP自动跨页传递session id。            b、手动通过URL传值、隐藏表单传递session id。   &

46、#160;        c、用文件、数据库,memcache等形式保存session_id,在跨页过程中手动调用。下面举例说明：                  第一种情况：               &

47、#160;     page1.php                     <?php                     session_sta

48、rt();                     $_SESSION'var1'="中华人民共和国"                     $url="

49、;<a href=".""s2.php">下一页</a>"                     echo $url;                 &

50、#160;   ?>                     page2.php                     <?php   

51、                  session_start();                     echo "传递的session变量var1的值为：".$_SESSION'var1'

52、;                     ?>               运行以上代码，在客户端cookie正常的情况下，应该可以在得到结果“中华人民共和国”。       

53、60;       现在你手动关闭客户端的cookie，再运行，可能得不到结果了吧。如果得不到结果，再“设置php.ini中的session.use_trans_sid = 1或者编译时打开打开了-enable-trans-sid选项”，又得到结果“中华人民共和国”               第二种途径：       

54、0;          s1.php                  <?php                  session_start(); &

55、#160;                $_SESSION'var1'="中华人民共和国"                  $sn = session_id();      

56、60;           $url="<a href=".""s2.php?s=".$sn."">下一页</a>"    /PHP5定义了一个常量SID来表示session_id()，$url还可以写成$url='<a href="page2.php?' . SID . '">下一页</a>&#

57、39;                  echo $url;                  ?>            

58、0;     s2.php                  <?php                  session_id($_GET's');    

59、              session_start();                  echo "传递的session变量var1的值为：".$_SESSION'var1'       

60、;           ?>                                 第三种途径：     

61、0;               login.html                     <!DOCTYPE HTML PUBLIC "-/W3C/DTD HTML 4.01 Transitional/EN"> 

62、                    <html>                        <head>   

63、0;                       <title>Login</title>                      &

64、#160;    <meta http-equiv="Content-Type" content="text/html; charset=?">                        </head>      

65、;                  <body>                             请登录：  

66、;                         <form name="login" method="post" action="mylogin1.php">          

67、60;                   用户名:<input type="text" name="name"><br>                   

68、60;          口令:<input type="password" name="pass"><br>                            

69、  <input type="submit" value="登录">                           </form>           

70、;             </body>                     </html>             &

71、#160;    mylogin1.php                     <?php                     $name=$_POST&#

72、39;name'                     $pass=$_POST'pass'                     if(!$name | !$pass)

73、                         echo "用户名或密码为空，请<a href="login.html">重新登录</a>"             

74、;             die();                                     

75、60;    if (!($name="laogong" && $pass="123")                          echo "用户名或密码不正确，请<a href="login.html">重新登录<

76、/a>"                         die();                       

77、0;                  /注册用户                     ob_start();         

78、0;           session_start();                     $_SESSION'user'= $name;           

79、60;         $psid=session_id();                     $fp=fopen("e:tmpphpsid.txt","w+");         

80、            fwrite($fp,$psid);                     fclose($fp);             

81、0;       /身份验证成功，进行相关操作                     echo "已登录<br>"                     echo "<a href="mylogin2.php">