php session無效分析
php開發過程中，可能有朋友經常會遇到session所產生的檔案無法自動清除的問題，其實並非真的無法清除，而是有乙個概率問題，只要你的站點訪問量足夠大，那些檔案就可以自動被清除掉。如果訪問量比較少，又看那些檔案不順眼的話，只要在php.ini裡的配置一下即可實現session檔案自動清除的功能，具體配置如下：
找到session.gc_probability = 1
session.gc_divisor = 1000
上面這兩項引數其實就是這個概率，預設情況下是1/1000
將 session.gc_divisor = 1000 改為 session.gc_divisor = 100 即可
如果想達到完全的實時，那麼可以把這個引數改為1，這樣概率就是100%了
看看session如何工作的
概述：每一次php請求，會有1/100的概率（預設值）觸發「session**」。如果「session**」發生，那就會檢查/tmp/sess_*的檔案，如果最後的修改時間到現在超過了1440秒（gc_maxlifetime的值），就將其刪除，意味著這些session過期失效。
1. session在server端（一般是apache with php module）如何存在的？
預設的，php會將session儲存在/tmp目錄下，檔名為這個樣子：sess_01aab840166fd1dc253e3b4a3f0b8381。每乙個檔案對應了乙個session（會話）。
more /tmp/sess_01aab840166fd1dc253e3b4a3f0b8381
username|s:9:」jiangfeng」;admin|s:1:」0〃;
#變數名|型別:長度:值
刪除這裡的session檔案，就表示對應的session失效了。
2. session在client端（一般是瀏覽器）如何存在的？
session在瀏覽器端，只需要儲存session id（由server端生成的唯一id）就可以了。有兩種儲存方式：在cookie中、在url裡面。如果cookie中儲存session id，就可以看到瀏覽器的cookie中有乙個phpsesid變數。如果是url傳遞的，就可以看到形如:
index.php?phpsesid=01aab840166fd1dc253e3b4a3f0b8381的url。（在server端通過session.use_cookies來控制使用哪一種方式）
3. 在server端，php如何判斷session檔案是否過期？
如果」最後的修改時間」到」現在」超過了gc_maxlifetime（預設是1440）秒，這個session檔案就被認為是過期了，在下一次session**的時候，如果這個檔案仍然沒有被更改過，這個session檔案就會被刪除（session就過期了）。
簡單的說，如果我登入到某**，如果在1440秒（預設值）內沒有操作過，那麼對應的session就認為是過期了。
所以，修改php.ini檔案中的gc_maxlifetime變數就可以延長session的過期時間了：（例如，我們把過期時間修改為86400秒）
session.gc_maxlifetime = 86400
然後，重啟你的web服務（一般是apache）就可以了。
注意：php5裡面session過期使用了**機制。這裡設定時間為86400秒，如果session在86400秒內沒有被修改過，那麼在下一次「**」時才真的被刪除。
4. session「**」何時發生？
預設情況下，每一次php請求，就會有1/100的概率發生**，所以可能簡單的理解為「每100次php請求就有一次**發生」。這個概率是通過以下引數控制的
#概率是gc_probability/gc_divisor
session.gc_probability = 1
session.gc_divisor = 100
注意1：假設這種情況gc_maxlifetime=120，如果某個session檔案最後修改時間是120秒之前，那麼在下一次**（1/100的概率）發生前，這個session仍然是有效的。
注意2：如果你的session使用session.s**e_path中使用別的地方儲存session，session**機制有可能不會自動處理過期session檔案。這時需要定時手動（或者crontab）的刪除過期的session：
cd /path/to/sessions; find -cmin +24 | xargs rm
5. 一些特殊情況
因為**機制會檢查檔案的「最後修改時間」，所以如果某個會話是活躍的，但是session的內容沒有改變過，那麼對應的session檔案也就沒有改變程式設計客棧過，**機制會認為這是乙個長時間沒有活躍的session而將其刪除。這是我們不願看到的，可以通過增加如下的簡單**解決這個問題：
<?php if(!isset($_session['last_access'])||(time()-$_session['last_access'])>60)
$_session['last_accewww.cppcns.comss'] = time();
?>
**會每隔60秒，嘗試修改修改一次session。
總結：如果想修改session過期時間，修改變數gc_maxlifetime就可以了。php5的session採用被動的**機制（garbage collection）。過期的session檔案不會自己消失，而是通過觸發「**」來處理過期的session。
我們下面來詳細看看一些其它的設定session時間的問題
session 過期時間引數
設定過期時間引數, 主要是設定 session.gc_maxlifetime 的引數即可, 再保險一點的設定, 就設定下面這兩個引數.
ini_set('session.cookie_lifetime', 0); // 可用 print_r(session_get_cookie_params()); 觀察
ini_set('session.gc_maxlifetime', 3600); // 可用 echo ini_get("session.gc_maxlifetime"); 觀察
session_cookie_lifetime 設為 0 的話, 代表等到 browser 才把此 cookie 清掉.(session 和 browser cookie 是有相關的)
如果懶得想這些, 直接用下面的 function 程式設計客棧就可以了
session 過期時間程式
<?php function start_session($expire = 0)
else
if (empty($_cookie['phpsessid'])) else
}?>
使用方式
於程式最上方加入: start_session(600); // 代表 600 秒後會過期 (取代原本 session_start())
如果要再延長過期時間, 只要再做修改即可.
但是有個問題要注意, 就是 php 的 session 預設是存成 file, 所以 /agkqsprqktmp 可能會因這樣設定而爆掉(檔案太多), 通常解法是把 session 存進 db/memcache 中.
本文位址:
php session安全問題分析
因此,我們主要解決的思路是效驗session id的有效性.以下為tjeygzprhc引用的內容 複製 如下 php if isset session user agent 如果使用者session id是偽造 elseif session user agent server remote addr...
PHP session會話的安全性分析
從而達到方便快捷的目的，但是它在儲存資訊的時候往往會有一些敏感的東西，這些東西可能成為被攻擊的目標，如銀行的賬號 信用卡事務或檔案記錄等。這就要求在編寫 的時候必須採取安全措施來減少攻擊成功的可能性。主要的安全措施有以下兩個方面。1 防止攻擊者獲取使用者的會話id。獲取會話id的方式很多，攻擊者可以...
PHP setcookie無效的原因分析
ob start 控制您的瀏覽器cache，加在setcookie 之前，一般加在頁面頂部 ob get clean 輸出瀏覽器cache，看看結果是否存在cookie，加在setcookie 之後，一般加在頁面最後 乙個在apache xp下開發的企業 上傳到iis6.0伺服器，出現setcook...