PHP Session ID的实现原理与实例

session作用

　　session的根本作用就是在服务端存储用户和服务器会话的一些信息。典型的应用有：
　　1、判断用户是否登录。
　　2、购物车功能。

session 的工作机制：

为每个访问者创建一个唯一的 id (uid)，并基于这个 uid 来存储变量。uid 存储在 cookie 中，亦或通过 url 进行传导。

phpsessionid的生产算法原理：

1、hash_func = md5 / sha1 #可由php.ini配置

2、phpsessionid = hash_func(客户端ip + 当前时间（秒）+ 当前时间（微妙）+ php自带的随机数生产器)

从以上hash_func(*)中的数据采样值的内容分析，多个用户在同一台服务器时所生产的phpsessionid重复的概率极低。

另外，黑客如果要猜出某一用户的phpsessionid，则他也必须知道“客户端ip、当前时间（秒、微妙）、随机数”等数据方可模拟。

php.ini配置如下：

php session工作原理

以下以cookie传输phpsessid描述。

1、客户端请求一个php的服务端地址。

2、服务端收到请求，此次php脚本中包含session_start()。

3、服务端会生成一个phpsessid。（默认session存储方式为session.save_handler=files，文件形式存储。生成的session文件名规则即为sess_phpsessid，session文件存在session.save_path中。）

4、服务端响应首部response headers：set-cookie:phpsessid=37vjjasgjdv2ouk1uomhgqkv50; path=/。在客户端生成一个cookie保存此phpsessid。

5、此时，客户端的cookie里面包含了phpsessid，之后客户端的每次请求首部request headers：cookie:phpsessid=37vjjasgjdv2ouk1uomhgqkv50。服务端之后每次接收到客户端的请求就都能根据这个phpsessid来找到服务端的session文件，通过对这个session文件的读写操作即实现了session的超全局变量属性。

如果客户端禁用了cookie，由于无法使用cookie传递phpsessid，那么客户端每次请求，服务端都会重新建立一个session文件，而无法通过通过phpsessid来重用session文件，所以session也就失效了。

这种情况可以设置session.use_trans_sid来传输phpsessid，具体实现方式与cookie的区别就是将phpsessid通过http的get传输。

session.use_cookies = 0  //设置客户端是否使用cookie来保存session值  该参数的值不影响上述机制的进行。

但是为了验证该机制，这里把该参数设为0，排除cookie携带seesionid的可能

session.use_only_cookies = 0  //是否只使用cookie来保存session值  该参数为1时，上述机制失效。

设置session.use_trans_sid = 1或者编译时打开打开了--enable-trans-sid每次请求的地址里面都会补全phpsessid参数”url?phpsessid=37vjjasgjdv2ouk1uomhgqkv50”来实现。

phpcli模式通过session_id()使用session

可以通过它来获取当前会话的phpsessid，也可以通过它来设置当前的会话phpsessid。

phpcli模式下可以通过设置这个，达到使用session的目的，非常方便。

例如：

session实例问题

 现有系统a，b; 假设a系统是可以独立运行的web系统，即可以和浏览器直接处理session， b系统是基于mobile的，需要调用a系统的功能接口，

　　在保持a不改变的情况下，即登陆验证，session存储都不变的情况下，b系统能处理前端用户的请求。

　　这里提供的方案是使用php实现

　　在用户登陆成功后，将保存的session的session-id返回给b系统，然后ｂ系统每次请求其他接口都带session_id。

　　ａ系统在session_start前加上session_id（session_id）;

　　这样b系统就能安全的调用a

session安全问题

       再聊下session_id吧，它是保存在cookie中，首先session是一个只要活动就不会过期的东西，只要开启cookie，每一次会话，session_id都不会改变，我们可以根据session_id来判断用户是否是正常登陆，防止用户伪造session。然后我们也要防止session被劫持，我们可以对session_id进行再一次的加密，防止暴力破解，还有可以设置httponly。通过设置cookie的httponly为true，可以防止客户端脚本访问这个cookie，从而有效的防止xss攻击。

以上就是php session id的实现原理与实例的详细内容，更多关于php session id的资料请关注其它相关文章！