1. PHP的COOKIE
cookie 是一種在遠程瀏覽器端儲存數據并以此來跟蹤和識別用戶的機制。
PHP在http協議的頭信息里發送cookie，因此 setcookie() 函數必須在其它信息被輸出到瀏覽器前調用，這和對 header() 函數的限制類似。
1.1設置cookie:
可以用setcookie()或setrawcookie()函數來設置cookie。也可以通過向客戶端直接發送http頭來設置。
1.1.1 使用setcookie()函數設置cookie:
bool setcookie ( string name [, string value [, int expire [, string path [, string domain [, bool secure [, bool httponly]]]]]] ) name: cookie變量名 value: cookie變量的值 expire: 有效期結束的時間 path: 有效目錄 domain: 有效域名，頂級域唯一 secure: 如果值為1，則cookie只能在https連接上有效，如果為默認值0，則http和https都可以。 例子：
代碼片段
<?php
$value = 'something from somewhere';
setcookie("TestCookie", $value); /* 簡單cookie設置 */
setcookie("TestCookie", $value, time()+3600); /* 有效期1個小時 */
setcookie("TestCookie", $value, time()+3600, "/~rasmus/", ".example.com", 1); /* 有效目錄 /~rasmus,有效域名example.com及其所有子域名*/
?>
設置多個cookie變量：setcookie('var[a]','value'); 用數組來表示變量，但他的下標不用引號。這樣就可以用$_COOKIE[‘var’][‘a’]來讀取該COOKIE變量。
1.1.2. 使用header()設置cookie;
header("Set-Cookie: name=$value[;path=$path[;domain=xxx.com[;...]]");
后面的參數和上面列出setcookie函數的參數一樣。
比如：
$value = 'something from somewhere';
header("Set-Cookie:name=$value");
1.2 Cookie的讀取:
直接用php內置超級全局變量$_COOKIE就可以讀取瀏覽器端的cookie。 上面例子中設置了cookie"TestCookie"，現在我們來讀取：
代碼片段
print $_COOKIE['TestCookie'];
COOKIE是不是被輸出了?!
1.3 刪除cookie
只需把有效時間設為小于當前時間，和把值設置為空。例如：
代碼片段
setcookie("name", "", time()-1);
用header()類似。
1.4 常見問題解決:
1) 用setcookie()時有錯誤提示，可能是因為調用setcookie()前面有輸出或空格。也可能你的文檔是從其他字符集轉換過來，文檔后面可能帶有BOM簽名(就是在文件內容添加一些隱藏的BOM字符)。解決的辦法就是使你的文檔不出現這種情況。還有通過使用ob_start()函數也能處理一點。
2) $_COOKIE受magic_quotes_gpc影響，可能自動轉義。
3) 使用的時候，有必要測試用戶是否支持cookie。
1.5 cookie工作機理:
有些學習者比較沖動，沒心思把原理研究，所以我把它放后面。
a) 服務器通過隨著響應發送一個http的Set-Cookie頭，在客戶機中設置一個cookie(多個cookie要多個頭)。
b) 客戶端自動向服務器端發送一個http的cookie頭，服務器接收讀取。
HTTP/1.x 200 OK X-Powered-By: PHP/5.2.1
Set-Cookie: TestCookie=something from somewhere; path=/
Expires: Thu, 19 Nov 2007 18:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Content-type: text/html
這一行實現了cookie功能，收到這行后
Set-Cookie: TestCookie=something from somewhere; path=/
瀏覽器將在客戶端的磁盤上創建一個cookie文件，并在里面寫入：
TestCookie=something from somewhere; /
這一行就是我們用setcookie('TestCookie','something from somewhere','/');的結果。也就是用 header('Set-Cookie: TestCookie=something from somewhere; path=/');的結果。
2. PHP的SESSION
session使用過期時間設為0的cookie，并且將一個稱為session ID的唯一標識符(一長串字符串)，在服務器端同步生成一些session文件(可以自己定義session的保存類型)，與用戶機關聯起來。web應用程序存貯與這些session相關的數據，并且讓數據隨著用戶在頁面之間傳遞。
訪問網站的來客會被分配一個唯一的標識符，即所謂的SESSION ID。它要么存放在客戶端的cookie，要么經由 URL 傳遞。
SESSION允許用戶注冊任意數目的變量并保留給各個請求使用。當來客訪問網站時，PHP 會自動（如果 session.auto_start 被設為 1）或在用戶請求時（由 session_start() 明確調用或 session_register() 暗中調用）檢查請求中是否發送了特定的SESSION ID。如果是，則之前保存的環境就被重建。
2.1 SESSION ID的傳送
2.1.1 通過cookie傳送SESSION ID
使用session_start()調用session，服務器端在生成session文件的同時，生成session ID哈希值和默認值為PHPSESSID的session name，并向客戶端發送變量為(默認的是)PHPSESSID(session name)，值為一個128位的哈希值。服務器端將通過該cookie與客戶端進行交互。
session變量的值經php內部序列化后保存在服務器機器上的文本文件中，和客戶端的變量名默認情況下為PHPSESSID的coolie進行對應交互。
即服務器自動發送了http頭：header('Set-Cookie: session_name()=session_id(); path=/');即setcookie(session_name(),session_id());
當從該頁跳轉到的新頁面并調用session_start()后，PHP將檢查與給定ID相關聯的服務器端存貯的session數據，如果沒找到，則新建一個數據集。
2.1.2 通過URL傳送session ID
只有在用戶禁止使用cookie的時候才用這種方法，因為瀏覽器cookie已經通用，為安全起見，可不用該方法。
<a href="p.php?<?php print session_name() ?>=<?php print session_id() ?>">xxx</a>，也可以通過POST來傳遞session值。
2.2 session基本用法實例
代碼片段
<?php
// page1.php
session_start();
echo 'Welcome to page #1'; /* 創建session變量并給session變量賦值 */
$_SESSION['favcolor'] = 'green';
$_SESSION['animal'] = 'cat';
$_SESSION['time'] = time(); // 如果客戶端使用cookie,可直接傳遞session到page2.php
echo '<br /><a href="page2.php">page 2</a>'; // 如果客戶端禁用cookie echo '
<br /><a href="page2.php?' . SID . '">page 2</a>'; /* 默認php5.2.1下,SID只有在cookie被寫入的同時才會有值,如果該session 對應的cookie已經存在,那么SID將為(未定義)空 */
?>
代碼片段
<?php
// page2.php
session_start();
print $_SESSION['animal']; // 打印出單個session
var_dump($_SESSION); // 打印出page1.php傳過來的session值
?>
2.3 使用session函數控制頁面緩存
很多情況下，我們要確定我們的網頁是否在客戶端緩存，或要設置緩存的有效時間，比如我們的網頁上有些敏感內容并且要登錄才能查看，如果緩存到本地了，可以直接打開本地的緩存就可以不登錄而瀏覽到網頁了。
使用session_cache_limiter('private');可以控制頁面客戶端緩存，必須在session_start()之前調用。
更多參數見
http://blog.chinaunix.net/u/27731/showart.php?id=258087的客戶端緩存控制。
控制客戶端緩存時間用session_cache_expire(int); 單位(s)。也要在session_start()前調用。
這只是使用session的情況下控制緩存的方法，我們還可以在header()中控制控制頁面的緩存。
2.4 刪除session
要三步實現。
代碼片段
<?php
session_destroy(); // 第一步: 刪除服務器端session文件,這使用
setcookie(session_name(),'',time()-3600); // 第二步: 刪除實際的session:
$_SESSION = array(); // 第三步: 刪除$_SESSION全局變量數組
?>
2.5 session在PHP大型web應用中的使用
對于訪問量大的站點，用默認的session存貯方式并不適合，目前最優的方法是用數據庫存取session。這時，函數bool session_set_save_handler ( callback open, callback close, callback read, callback write, callback destroy, callback gc )就是提供給我們解決這個問題的方案。
該函數使用的6個函數如下：
1. bool open() 用來打開會話存儲機制。
2. bool close() 關閉會話存儲操作。
3. mixde read() 從存儲中裝載session數據時使用這個函數。
4. bool write() 將給定session ID的所有數據寫到存儲中。
5. bool destroy() 破壞與指定的session ID相關聯的數據。
6. bool gc() 對存儲系統中的數據進行垃圾收集。
例子見php手冊session_set_save_handler() 函數。
如果用類來處理，用
代碼片段
session_set_save_handler(
array('className','open'),
array('className','close'),
array('className','read'),
array('className','write'),
array('className','destroy'),
array('className','gc'),
)
調用className類中的6個靜態方法。className可以實例化對象就不用調用靜態方法，但是用靜態成員不用生成對象，性能更好。
2.6 常用session函數:
bool session_start(void) 初始化session。
bool session_destroy(void) 刪除服務器端session關聯文件。
string session_id() 當前session的id。
string session_name() 當前存取的session名稱，也就是客戶端保存session ID的cookie名稱.默認PHPSESSID。
array session_get_cookie_params() 與這個session相關聯的session的細節。
string session_cache_limiter() 控制使用session的頁面的客戶端緩存。
ini session_cache_expire() 控制客戶端緩存時間。
bool session_destroy() 刪除服務器端保存session信息的文件。
void session_set_cookie_params ( int lifetime [, string path [, string domain [, bool secure [, bool httponly]]]] ) 設置與這個session相關聯的session的細節。
bool session_set_save_handler ( callback open, callback close, callback read, callback write, callback destroy, callback gc ) 定義處理session的函數(不是使用默認的方式)。
bool session_regenerate_id([bool delete_old_session]) 分配新的session id
2.7 session安全問題
攻擊者通過投入很大的精力嘗試獲得現有用戶的有效session ID，有了session id，他們就有可能
能夠在系統中擁有與此用戶相同的能力。
因此，我們主要解決的思路是效驗session ID的有效性。
代碼片段
<?php
if(!isset($_SESSION['user_agent'])){
$_SESSION['user_agent'] = $_SERVER['REMOTE_ADDR'] . $_SERVER['HTTP_USER_AGENT'];
} /* 如果用戶session ID是偽造 */
elseif ($_SESSION['user_agent'] != $_SERVER['REMOTE_ADDR'] . $_SERVER['HTTP_USER_AGENT']) { session_regenerate_id();
}
?>
2.8 Session通過cookie傳遞和通過SID傳遞的不同
在php5.2.1的session的默認配置的情況下，當生成session的同時，服務器端將在發送header set-cookie同時生成預定義超級全局變量SID(也就是說，寫入cookie和拋出SID是等價的)，當$_COOKIE['PHPSESSID']存在以后，將不再寫入cookie，也不再生成超級全局變量SID，此時，SID將是空的。
2.9 session使用實例
代碼片段
<?php
/** * 效驗session的合法性 * */
function sessionVerify() {
if(!isset($_SESSION['user_agent'])){
$_SESSION['user_agent'] = MD5($_SERVER['REMOTE_ADDR'] .$_SERVER['HTTP_USER_AGENT']);
} /* 如果用戶session ID是偽造,則重新分配session ID */
elseif ($_SESSION['user_agent']!=MD5($_SERVER['REMOTE_ADDR'] . $_SERVER['HTTP_USER_AGENT'])) {
session_regenerate_id();
}
}
/** * 銷毀session * 三步完美實現,不可漏 * */
function sessionDestroy() {
session_destroy();
setcookie(session_name(),'',time()-3600);
$_SESSION = array();
}
?>
注明：
session 出現頭信息已經發出的原因與cookie一樣。 在php5中，所有php session的注冊表配置選項都是編程時可配置的，一般情況下，我們是不用修改其配置的。要了解php的session注冊表配置選項，請參考手冊的Session會話處理函數處。