php session原理

夜貓子

眾所周知，http協(xié)議是一個無狀態(tài)協(xié)議，簡單來說就是，web服務器是不知道現(xiàn)在連接上來的人到底是哪個人，為了滿足選擇性發(fā)送信息的需求，在http的基礎上做了很多擴展來達到這個目的，如數(shù)字簽名、cookie、session等。
web服務器或者web程序如何能夠知道現(xiàn)在連接上來的是誰？要解決這個問題，首先需要在服務器端和客戶端建立一一對應關系，下邊我通過抓取http的內容來說明這種對應關系是如何建立的。
我使用的是一個叫做httplook的http包嗅探工具，然后在本地web服務器的根目錄下建立一個叫test.php的文件，地址是：http://localhost/test.php，一切就緒以后我通過瀏覽器反復打開這個頁面。

1. 
   
2. <?php
   
3. session_start();
   
4. if (isset($_SESSION['test_sess'])){
   
5.     $_SESSION['test_sess']++;
   
6. }else{
   
7.     $_SESSION['test_sess'] = 0;
   
8. }
   
9. echo $_SESSION['test_sess'];
   
10. ?>;
    

復制代碼

以下是前兩次向服務器發(fā)出的信息及服務器返回的信息

原帖由 "第一次請求服務器" 發(fā)表：

GET /test.php HTTP/1.1
Accept: */*
Referer: http://localhost/
Accept-Language: zh-cn
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon; .NET CLR 1.1.4322)
Host: localhost
Connection: Keep-Alive

原帖由 "服務器第一次返回" 發(fā)表：

HTTP/1.1 200 OK
Date: Fri, 26 Aug 2005 07:44:22 GMT
Server: Apache/2.0.54 (Win32) SVN/1.2.1 PHP/5.0.4 DAV/2
X-Powered-By: PHP/5.0.4
Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; path=/
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Content-Length: 1
Keep-Alive: timeout=15, max=99
Connection: Keep-Alive
Content-Type: text/html; charset=utf-8
Content-Language: Off

原帖由 "第二次請求服務器" 發(fā)表：

GET /test.php HTTP/1.1
Accept: */*
Referer: http://localhost/
Accept-Language: zh-cn
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon; .NET CLR 1.1.4322)
Host: localhost
Connection: Keep-Alive
Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3

原帖由 "服務器第二次返回" 發(fā)表：

HTTP/1.1 200 OK
Date: Fri, 26 Aug 2005 07:44:23 GMT
Server: Apache/2.0.54 (Win32) SVN/1.2.1 PHP/5.0.4 DAV/2
X-Powered-By: PHP/5.0.4
Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; path=/
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Content-Length: 1
Keep-Alive: timeout=15, max=98
Connection: Keep-Alive
Content-Type: text/html; charset=utf-8
Content-Language: Off

仔細對比這些輸出，第二次請求比第一次請求多出來的就是：
Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3
這個header將會向服務器發(fā)送一個cookie信息，告訴服務器我有一個cookie，名字叫PHPSESSID，內容是bmmc3mfc94ncdr15ujitjogma3。
這個cookie是怎么來的呢？看第一次服務器返回的信息里邊有：
Set-Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3; path=/
這是服務器向客戶端瀏覽器寫一個cookie，名字是PHPSESSID，值是bmmc3mfc94ncdr15ujitjogma3，這個值實際就是所謂的session_id。
繼續(xù)看第二次向服務器發(fā)出的請求，仍然向服務器發(fā)送了PHPSESSID這個cookie

可以得到以下結論：
1、只要使用了session，就會通過cookie的方式向客戶端瀏覽器發(fā)送session
2、每次向服務器發(fā)出請求的時候，本地瀏覽器會把cookie附帶在請求信息中

說到這里，服務器端和客戶端如何通過session做到一一對應的答案就很清楚了，明白了這個道理，對于使用session有很大幫助，請細細體會。

Yarco

奇怪...好帖居然沒人頂...

請教斑竹.
假如我第二次發(fā)送請求不寫:
Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3
是不是意味著服務器端會調用:
$_SESSION['test_sess'] = 0;
這個呢?

ps,居然發(fā)現(xiàn)一個變量$_SERVER["HTTP_COOKIE"], 沒看到手冊里有寫.

ps,斑竹有沒在win32下好的協(xié)議分析工具?

and ps...
實際上我是在翻前幾天看到一位兄弟說是關于php5出錯不顯示錯誤的問題.
我也遇到了...error_reporting已經設置了E_ALL. 我亂寫一通, 居然沒反應.
版本php5.0.4
是不是各位普遍有這種情況?

夜貓子

>;假如我第二次發(fā)送請求不寫:
>;Cookie: PHPSESSID=bmmc3mfc94ncdr15ujitjogma3
isset($_SESSION['test_sess'])就會返回false，結果就是
$_SESSION['test_sess'] = 0;
你的想法是正確的

如果是分析一下http協(xié)議的話，telnet 80就可以了，稍微好點就用http look一類的東西，最好的工具是sniffer pro。

hightman

哎,都是基于cookie所以特別不安全.

只要這個session_id被知曉或者說cookie內容被盜(這很容易辦到), 就很有可能被盜竊身份.

我在作程序時session數(shù)據(jù)都加入了IP驗證.  非根本性的解決方案.

Yarco

你這樣一說, 我倒是有問題出來了.
cookie被盜, 我相信是指這些情況吧:
1. 就是有n天效果的那種.
2. 被hack或者攔截了

假如不考慮上面因素
按理說那個session_id是個臨時值...也按理說臨時值對應所儲存在服務器端里的文件也是臨時的, 用完之后應該被刪掉的...
所以再要盜竊身份的話, 是不是說就得找到那個當前在服務器上存在的那個對應的session_id呢?

hightman

像論壇上的貼圖有些[IMG]標簽沒過濾好,cookie很容易被獲取.

夜貓子

session_id的泄露最大的可能是嗅探，如果你處于廣播型的以太網內就可以被嗅探

ymaozi

樓上說的session_id泄密 還不是特別的明白 ,人家怎么來得到這個session_id 呢?

hualin159

頂頂頂

ylcqen

嗯,不錯.如果不了解可以到PHP官方網站上去查詢!