`

HTTP session cookie原理及应用

    博客分类:
  • Web
 
阅读更多

 

PHP 的COOKIE

    cookie 是一种在远程浏览器端储存数据并以此来跟踪和识别用户的机制。 
    PHP在http 协议的头信息里发送cookie,因此  setcookie()函数必须在其它信息被输出到浏览器前调用,这和对header()函数的限制类似。

------------------------------------------------------------------------------------------------------------------------------

    1.设置cookie:

    a.可以用 setcookie()或 setrawcookie()函数来设置 cookie。也可以通过向客户端直接发送http头来设置。

    eg:

    $value = 'something from somewhere';
    setcookie("TestCookie", $value); /* 简单 cookie设置 */ 
    setcookie("TestCookie", $value, time()+3600); /* 有效期 1个小时 */ 
    setcookie("TestCookie", $value, time()+3600, "/~rasmus/",
    ".example.com", 1); /* 有效目录 /~rasmus,有效域名 example.com及其所有子域名 */ 

    设置多个 cookie  变量:setcookie('var[a]','value');  用数组来表示变量,但他的下标不用引号。这样就可以用$_COOKIE[‘var’][‘a’]来读取该COOKIE 变量。

     b. 使用 header()设置cookie;

     header("Set-Cookie: name=$value[;path=$path[;domain=xxx.com[;...]]");

     eg:

$value = 'something from somewhere'; 
header("Set-Cookie:name=$value");

 

------------------------------------------------------------------------------------------------------------------------------

    2.读取cookie:

    直接用php  内置超级全局变量$_COOKIE 就可以读取浏览器端的cookie。 

    上面例子中设置了cookie "TestCookie",现在我们来读取:

     eg:

 

print $_COOKIE['TestCookie'];

------------------------------------------------------------------------------------------------------------------------------

    3.删除cookie

     只需把有效时间设为小于当前时间,和把值设置为空。例如:

     eg:

setcookie("name", "", time()-1);

     用header()类似。

 

     note:

     a.用setcookie()时有错误提示,可能是因为调用setcookie()前面有输出或空格。也可能你的文档是从其他字符集转  换过来,文档后面可能带有 BOM 签名(就是在文件内容添加一些隐藏的BOM 字符)。解决的办法就是使你的文档不出现这种情况。还有通过使用ob_start()函数 也能处理一点。

     b.$_COOKIE 受magic_quotes_gpc 影响,可能自动转义

     c.使用的时候,有必要测试用户是否支持cookie

------------------------------------------------------------------------------------------------------------------------------

     4.原理.

     a.服务器通过随着响应发送一个http 的Set-Cookie 头,在客户机中设置一个cookie(多个cookie 要多个头)。 

     b.客户端自动向服务器端发送一个http 的cookie 头,服务器接收读取。 
          HTTP/1.x 200 OK 
          X-Powered-By: PHP/5.2.1 
          Set-Cookie: TestCookie=something from somewhere; path=/ 
          Expires: Thu, 19 Nov 2007 18:52:00 GMT 
          Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0 
          Pragma: no-cache 
          Content-type: text/html

    这一行实现了cookie 功能,收到这行后

    Set-Cookie: TestCookie=something from somewhere; path=/ 

    浏览器将在客户端的磁盘上创建一个cookie 文件,并在里面写入:

    TestCookie=something from somewhere; 

    这一行就是我们用 setcookie('TestCookie','something   from  somewhere','/'); 的结果。也就是用 
    header('Set-Cookie: TestCookie=something from somewhere; path=/');的结果。

 

-------------------------------------------------分割线--------------------------------------------------------------------

 

PHP 的SESSION

session 使用过期时间设为0 的cookie,并且将一个称为session ID 的唯一标识符(一长串字符串),在服务器端同步生成一些 session 文件(可以自己定义 session 的保存类型),与用户机关联起来。web应用程序存贮与这些 session 相关的数据,并且让数据随着用户在页面之间传递.访问网站的来客会被分配一个唯一的标识符,即所谓的 SESSION ID。它要么存放在客户端的cookie,要么经由  URL  传递.SESSION 允许用户注册任意数目的变量并保留给各个请求使用。当来客访问网站时,PHP会自动(如果session.auto_start 被设为1)或在用户请求时(由session_start()明确调用或session_register() 暗中调用)检查请求中是否发送了特定的SESSION ID。如果是,则之前保存的环境就被重建。

session最最核心的概念就是:网页间跳转的额外数据,保存在服务器,用一个id标识,浏览器要维持session,需要每次提交都带上这个id.

------------------------------------------------------------------------------------------------------------------------------

session id的传递有两种方式:

a.通过 cookie 传送 SESSION ID

使用 session_start()调用 session,服务器端在生成session 文件的同时,生成 session ID 哈希值和默认值为PHPSESSID 的session name,并向客户端发送变量为(默认的是)PHPSESSID(session name),值为一个 128 位的哈希值。服务器端将通过该 cookie 与客户端进行交互。session 变量的值经php内部序列化后保存在服务器机器上的文本文件中,和客户端的变量名默认情况下为PHPSESSID 的coolie 进行对应交互.即服务器自动发送了http  头:header('Set-Cookie:  session_name()=session_id();  path=/'); 即setcookie(session_name(),session_id()); 
当从该页跳转到的新页面并调用session_start()后,PHP 将检查与给定ID 相关联的服务器端存贮的session 数据,如果没找到,则新建一个数据集。

b.通过URL传送 session ID

只有在用户禁止使用cookie 的时候才用这种方法,因为浏览器cookie 已经通用,为安全起见,可不用该方法。 
    <a href="p.php?<?php print session_name() ?>=<?php print session_id() ?>">xxx</a>,也可以通过 POST 来传递 session 值。

------------------------------------------------------------------------------------------------------------------------------

如果客户端禁止使用cookie,可以使用如下办法:

a、设置php.ini中的session.use_trans_sid = 1或者编译时打开打开了--enable-trans-sid选项,让PHP自动跨页传递session id。
b、手动通过URL传值、隐藏表单传递session id。
c、用文件、数据库等形式保存session_id,在跨页过程中手动调用。

link:http://apps.hi.baidu.com/share/detail/41643457

 

session也可以在禁用cookie的情况下使用:
php.ini中session.use_cookies=1,改为0,session会保存在服务器端,而不是客户端的cookie。

可以通过session.save_path来查看服务器的session存放位置

session的使用:

eg:

 

// page1.php 
    session_start(); 
    echo 'Welcome to page #1';
    /* 创建 session变量并给 session变量赋值 */ 

    $_SESSION['favcolor'] = 'green'; 
    $_SESSION['animal'] = 'cat'; 
    $_SESSION['time'] = time();
    // 如果客户端使用 cookie,可直接传递 session到page2.php 
   echo '<br /><a href="page2.php">page 2</a>';
    // 如果客户端禁用 cookie 
   echo '<br /><a href="page2.php?' . SID . '">page 2</a>'; 
    /*
    默认php5.2.1下,SID只有在 cookie被写入的同时才会有值,如果该 session 
    对应的 cookie 已经存在,那么 SID将为 (未定义)空 
    */ 
 
// page2.php 
    session_start();
    print $_SESSION['animal']; // 打印出单个 session 
    var_dump($_SESSION); // 打印出page1.php传过来的 session值 
 

删除session:

eg:

 

 

    session_destroy();      // 第一步: 删除服务器端 session文件,这使用 
    setcookie(session_name(),'',time()-3600);      //  第 二 步 : 删 除 实 际 的session:
    $_SESSION = array();     // 第三步: 删除$_SESSION全局变量数组 
    ?> 

 

 

------------------------------------------------------------------------------------------------------------------------------

一个简单的示例:

php code:

 

 

session_start();

if (isset($_SESSION['test_sess'])){

    $_SESSION['test_sess']++;

}else{

    $_SESSION['test_sess'] = 0;

}

echo $_SESSION['test_sess'];

 

使用的一个叫做httplook的http包嗅探工具来抓包:

 

第一次请求服务器:

GET /test.php HTTP/1.1 
Accept: */* 
Referer: http://localhost/ 
Accept-Language: zh-cn 
Accept-Encoding: gzip, deflate 
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon; .NET CLR 1.1.4322) 
Host: localhost 
Connection: Keep-Alive

 

服务器第一次返回:

HTTP/1.1 200 OK 
Date: Fri, 26 Aug 2005 07:44:22 GMT 
Server: Apache/2.0.54 (Win32) SVN/1.2.1 PHP/5.0.4 DAV/2 
X-Powered-By: PHP/5.0.4 
Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; path=/ 
Expires: Thu, 19 Nov 1981 08:52:00 GMT 
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0 
Pragma: no-cache 
Content-Length: 1 
Keep-Alive: timeout=15, max=99 
Connection: Keep-Alive 
Content-Type: text/html; charset=utf-8 
Content-Language: Off

 

第二次请求服务器:

GET /test.php HTTP/1.1 
Accept: */* 
Referer: http://localhost/ 
Accept-Language: zh-cn 
Accept-Encoding: gzip, deflate 
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon; .NET CLR 1.1.4322) 
Host: localhost 
Connection: Keep-Alive 
Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3

 

服务器第二次返回:

HTTP/1.1 200 OK 
Date: Fri, 26 Aug 2005 07:44:23 GMT 
Server: Apache/2.0.54 (Win32) SVN/1.2.1 PHP/5.0.4 DAV/2 
X-Powered-By: PHP/5.0.4 
Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; path=/ 
Expires: Thu, 19 Nov 1981 08:52:00 GMT 
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0 
Pragma: no-cache 
Content-Length: 1 
Keep-Alive: timeout=15, max=98 
Connection: Keep-Alive 
Content-Type: text/html; charset=utf-8 
Content-Language: Off

 

仔细对比这些输出,第二次请求比第一次请求多出来的就是:
Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3
这个header将会向服务器发送一个cookie信息,告诉服务器我有一个cookie,名字叫PHPSESSID,内容是bmmc3mfc94ncdr15ujitjogma3。
这个cookie是怎么来的呢?看第一次服务器返回的信息里边有:
Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; path=/
这是服务器向客户端浏览器写一个cookie,名字是PHPSESSID,值是bmmc3mfc94ncdr15ujitjogma3,这个值实际就是所谓的session_id。
继续看第二次向服务器发出的请求,仍然向服务器发送了PHPSESSID这个cookie

可以得到以下结论:
1、只要使用了session,就会通过cookie的方式向客户端浏览器发送session
2、每次向服务器发出请求的时候,本地浏览器会把cookie附带在请求信息中

 

总结:

只要使用了session,就会通过cookie的方式向客户端浏览器发送session
实际上session完全是一个抽象的概念,session真正要做的,是在除了http提供的get和post提供的参数之外,针对某个用户(可能是个浏览器,或是台电脑,甚至是个ip),能保存额外的信息。如果我们不用系统提供的session,完全也可以传递数据,比如把我们原本要存入session的数据,序列化后再加密,形成一个字符串,在页面上所有的url和form里传递。服务器收到页面请求后,从get或post里取出机密串,揭开,还原数据,实际上和session要做的东西一个样。只不过这种方式超级bt,要实现需要做太多额外的工作。
session从技术角度讲,就是把在网页链接之间,额外要存储的数据,用一个id命名,保存在服务器端,而浏览器只需要每次get或post的适合,只提供这个id,就能获得之前存储的数据。php默认是用文件来保存数据的。unix下,php一般会在/tmp下面,创建 "sess_"+$session_id 这样的文件名,通过这个名字,就能直接找到session_id对应的数据。 所以session最最核心的概念就是:网页间跳转的额外数据,保存在服务器,用一个id标识,浏览器要维持session,需要每次提交都带上这个id。

怎么能让浏览器每次请求都能带上这个id呢,笨办法当然是在每个url链接或form的post里都加个id的参数,有些webmail实际上就是这么做的。当然更简单的办法就是通过cookie保存。但cookie方案还有个问题,如果浏览器不支持cookie怎么办,上面也有陈述.

上述的session,是php4,5提供的session功能,要知道php4之前系统都没有提供session功能!而且很多cgi程序,都是完全自己实现的session。php(4,5)提供的session,系统默认会用cookie来保存session_id

我之前一个项目,用户都在内网使用web。为了方便管理,直接把浏览器ip绑死到一个session,就是用浏览器ip地址代替了sessionid。这个方案里没有cookie,但还算是session,应为他没脱出session的定义。

 

每次向服务器发出请求的时候,本地浏览器会把cookie附带在请求信息中
实际上和session完全没有关系,说的只是http协议里cookie的工作方式。这个cookie是session_start()函数写的,我们也完全可以自己任意写cookie,只要写了,并且没超过有效期,浏览器都能送。

 

 

Session文件分为两部分:session变量保存在服务器端(默认以文件方式存储session);而session id则以cookie形式保存在客户端。(注意:session默认是基于cookie的)。
当用户的浏览器向服务器提出请求时,同时发送包含session id的cookie(默认情况下)。服务器根据客户端提供的session id来得到用户的文件,即保存在服务器端的session变量值。事实上,session id可以使用客户端的Cookie或者Http1.1协议的Query_String(就是访问的URL的“?”后面的部分)来传送给服务器,然后服务器读取Session的目录……。也就是说,session id是取得存储在服务上的session变量的身份证。当代码session_start();运行的时候,就在服务器上产生了一个session文件,随之也产生了与之唯一对应的一个session id,定义session变量以一定形式存储在刚才产生的session文件中。通过session id,可以取出定义的变量。跨页后,为了使用session,你必须又执行session_start();将又会产生一个session文件,与之对应产生相应的session id,用这个session id是取不出前面提到的第一个session文件中的变量的,因为这个session id不是打开它的“钥匙”。如果在session_start();之前加代码session_id($session id);将不产生新的session文件,直接读取与这个id对应的session文件。
          PHP中的session在默认情况下是使用客户端的Cookie来保存session id的,所以当客户端的cookie出现问题的时候就会影响session了。必须注意的是:session不一定必须依赖cookie,这也是session相比cookie的高明之处。当客户端的Cookie被禁用或出现问题时,PHP会自动把session id附着在URL中,这样再通过session id就能跨页使用session变量了。但这种附着也是有一定条件的,其一:“php.ini中的session.use_trans_sid = 1或者编译时打开打开了--enable-trans-sid选项”;其二:运行PHP的服务器必须是unix/linux系统,windows不具备此项功能。

 

解决session跨页面传递:

 

我们就可以得出解决session跨页传递问题的三条途径:
            a、设置php.ini中的session.use_trans_sid = 1或者编译时打开打开了--enable-trans-sid选项,让PHP自动跨页传递session id。
            b、手动通过URL传值、隐藏表单传递session id。
            c、用文件、数据库,memcache等形式保存session_id,在跨页过程中手动调用。
下面举例说明:
                  第一种情况:
                     page1.php
                     <?php
                     session_start();
                     $_SESSION['var1']="中华人民共和国";
                     $url="<a href="."\"s2.php\">下一页</a>";
                     echo $url;
                     ?>
                     page2.php
                     <?php
                     session_start();
                     echo "传递的session变量var1的值为:".$_SESSION['var1'];
                     ?>
               运行以上代码,在客户端cookie正常的情况下,应该可以在得到结果“中华人民共和国”。
               现在你手动关闭客户端的cookie,再运行,可能得不到结果了吧。如果得不到结果,再“设置php.ini中的session.use_trans_sid = 1或者编译时打开打开了--enable-trans-sid选项”,又得到结果“中华人民共和国”

               第二种途径:
                  s1.php
                  <?php
                  session_start();
                  $_SESSION['var1']="中华人民共和国";
                  $sn = session_id();
                  $url="<a href="."\"s2.php?s=".$sn."\">下一页</a>";    //PHP5定义了一个常量SID来表示session_id(),$url还可以写成$url='<a href="page2.php?' . SID . '">下一页</a>';
                  echo $url;
                  ?>
                  s2.php
                  <?php
                  session_id($_GET['s']);
                  session_start();
                  echo "传递的session变量var1的值为:".$_SESSION['var1'];
                  ?>
               
                  第三种途径:
                     login.html
                     <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
                     <html>
                        <head>
                           <title>Login</title>
                           <meta http-equiv="Content-Type" content="text/html; charset=??????">
                        </head>
                        <body>
                             请登录:
                           <form name="login" method="post" action="mylogin1.php">
                              用户名:<input type="text" name="name"><br>
                              口 令:<input type="password" name="pass"><br>
                              <input type="submit" value="登录">
                           </form>
                        </body>
                     </html>
                  mylogin1.php
                     <?php
                     $name=$_POST['name'];
                     $pass=$_POST['pass'];
                     if(!$name || !$pass) {
                         echo "用户名或密码为空,请<a href=\"login.html\">重新登录</a>";
                          die();
                     }
                     if (!($name=="laogong" && $pass=="123")) {
                         echo "用户名或密码不正确,请<a href=\"login.html\">重新登录</a>";
                         die();
                     }
                     //注册用户
                     ob_start();
                     session_start();
                     $_SESSION['user']= $name;
                     $psid=session_id();
                     $fp=fopen("e:\\tmp\\phpsid.txt","w+");
                     fwrite($fp,$psid);
                     fclose($fp);
                     //身份验证成功,进行相关操作
                     echo "已登录<br>";
                     echo "<a href=\"mylogin2.php\">下一页</a>";
                     ?>
                     mylogin2.php
                     <?php
                     $fp=fopen("e:\\tmp\\phpsid.txt","r");
                     $sid=fread($fp,1024);
                     fclose($fp);
                     session_id($sid);
                     session_start();
                     if(isset($_SESSION['user']) && $_SESSION['user']="laogong" ) {
                        echo "已登录 !";
                     }
                     else {
                         //成功登录进行相关操作
                         echo "未登录,无权访问";
                         echo "请<a href=\"login.html\">登录</a>后浏览";
                         die();
                     }
                     ?>

 

 

分享到:
评论

相关推荐

    理解HTTP session原理及应用

    本文将深入探讨HTTP Session的原理及其在实际应用中的作用。 首先,理解"session"一词的含义至关重要。在一般语境中,session指的是有始有终的一系列动作或消息,例如打电话的过程。而在Web开发中,session则被赋予...

    关于session与cookie的原理简述

    【Session与Cookie原理简述】 Session和Cookie是两种在Web开发中常见的用户状态管理机制,它们主要用于在HTTP协议无状态的特性下跟踪用户状态。理解它们的原理对于编写高效的Web应用至关重要。 **Cookie原理** ...

    javaweb之cookie和session的应用

    本文将深入探讨Cookie和Session的工作原理、应用场景以及如何在Java Web项目中进行有效利用。 **Cookie** Cookie是由服务器端发送到客户端(浏览器)的一小段文本信息,用于在客户端和服务器之间传递状态信息。它...

    Cookie、Session和Token三者的区别及使用

    ### Cookie、Session与Token的区别及使用详解 #### 一、Cookie **定义**: Cookie是一种用于在客户端保持状态的方案。简单来说,当你访问一个网站时,该网站可能会在你的计算机上留下一些信息(如用户名、密码等),...

    flask、session、cookie解加密脚本

    在IT行业中,安全是至关重要...了解`session`和`cookie`的工作原理以及如何在`Flask`中操作它们,对于开发安全的Web应用至关重要。开发者可以通过研究这些脚本来增强对`Flask`安全性的理解,并学习如何保护用户的数据。

    JavaWeb session 原理分析

    #### 一、Session与Cookie的关系及Session的工作原理 在JavaWeb开发中,Session机制被广泛用于实现用户会话状态的跟踪。Session与Cookie有着紧密的联系,但它们各自承担着不同的角色。为了更好地理解这两者之间的...

    cookie和session示例

    接下来,我们将详细探讨Cookie和Session的工作原理、特点以及如何在实际应用中使用它们。 一、Cookie 1. 工作原理: Cookie是由服务器端发送到客户端(浏览器)的一小段文本信息,当客户端后续向服务器发送请求时...

    j2ee实验二:学习使用Session和Cookie

    本实验旨在通过一系列实际操作来帮助学生熟悉J2EE环境下Session和Cookie的工作原理及其使用方法。通过本实验的学习,学生将能够: 1. **理解Web容器Session管理机理**:了解服务器如何通过Session对象来跟踪用户的...

    cookie和session

    本文将详细解析Cookie与Session的工作原理、区别及应用场景。 #### 一、Cookie与Session的基本概念 **Cookie**:是一种简单的客户端存储技术,用于保存用户的偏好设置、登录状态等信息。当用户访问网站时,服务器...

    一次搞明白 Session、Cookie、Token,面试问题全搞定.pdf

    总结来说,Session、Cookie和Token都是Web应用中用于保持用户状态的机制,但它们的工作原理和应用场景各有不同。Session在服务器端保存用户状态,而Cookie和Token则将用户状态保存在客户端。了解这些机制的优缺点,...

    Session的工作原理与概念详解

    在Web应用中,Session的工作原理主要涉及以下几个方面: ##### 2.1 客户端与服务器的交互 - **建立会话**:客户端首次访问网站时,服务器为该客户端创建一个新的Session,并分配一个唯一的Session ID。 - **传递...

    Cookie与Session的示例代码

    本篇将通过具体的示例代码来深入理解Cookie和Session的工作原理及用法。 首先,我们来看Cookie。Cookie是由服务器端创建并发送到客户端(浏览器)的一小段数据,存储在用户的本地硬盘上。当用户再次访问同一网站时...

    java Session cookie

    Java Session Cookie是Web开发中重要的用户状态管理工具,理解其工作原理和使用方法对于优化应用性能和提高用户体验至关重要。在实际开发中,需要根据项目需求权衡Cookie和Session的使用,合理设计和管理Session ...

    session实质就是cookie

    ##### 2.3 Cookie原理 1. **创建Cookie**:服务器创建并设置Cookie对象的属性。 2. **发送Cookie**:服务器通过HTTP响应头`Set-Cookie`发送Cookie信息给客户端。 3. **客户端存储**:客户端将接收到的Cookie信息...

    有关session的技术原理及其应用

    ### 有关Session的技术原理及其应用 #### 一、引言 HTTP作为一种无状态协议,在完成一次客户端与服务器间的信息交换后即断开连接,这给跨页面的数据传递带来了挑战。为了解决这个问题,Web开发中引入了多种解决...

    带你了解session和cookie作用原理区别和用法

    本资源主要介绍了session和cookie的作用原理、区别和用法,帮助读者更好地理解两者之间的关系。 Cookie概念 Cookie是浏览器端存储的一种小文本文件,用于记录用户的信息,以便在后续的访问中使用。Cookie可以根据...

    day16_cookie&session源代码.zip

    在IT行业中,尤其是在Web开发领域,Cookie和Session是两种非常重要的技术,用于管理用户状态和保持会话。...通过学习这些源代码,你可以更好地理解Cookie和Session的工作原理,并在实际项目中灵活运用。

    Cookie、Session机制详解.doc

    在Web应用程序中,Cookie和Session机制都是非常重要的技术,开发者需要了解这些技术的原理和优缺点,以便更好地使用它们来跟踪用户的会话。 在本文中,我们详细地讲述了Cookie和Session机制的原理和优缺点,并比较...

    Cookie与Session深入剖析图示

    教育训练方面,理解Cookie和Session的工作原理对于Web开发者来说至关重要。在进行Web应用开发时,要根据实际需求选择合适的身份验证和会话管理策略。例如,对于敏感信息,使用Session来保护用户隐私;对于非敏感信息...

    对session和cookie的一些理解

    在Web应用中,Session和Cookie被广泛用于跟踪用户的登录状态、购物车信息等,确保用户在不同页面间保持一致的体验。接下来,我们将深入探讨这两个概念以及它们的工作原理。 Cookie是服务器发送到用户浏览器并存储的...

Global site tag (gtag.js) - Google Analytics