środa, 2024-02-21

PHP: Sesje

Sesje w języku PHP są mechanizmem umożliwiającym przechowywanie informacji o użytkowniku lub innych danych przez czas trwania jego interakcji z aplikacją internetową. Prawidłowe zarządzanie sesjami jest kluczowe dla bezpieczeństwa i wydajności aplikacji internetowych.

Podstawowe informacje na temat sesji

• Rozpoczęcie Sesji: Aby używać sesji w PHP, należy najpierw rozpocząć sesję za pomocą funkcji session_start(). Ta funkcja musi być wywołana przed wysłaniem jakichkolwiek danych do przeglądarki.

• Przechowywanie Danych: Po rozpoczęciu sesji można przechowywać dane w zmiennej superglobalnej $_SESSION. Jest to tablica asocjacyjna, do której można dodawać wartości, używając kluczy.

  $_SESSION['username'] = 'JanKowalski';
  

• Dostęp do danych sesji: Dane zapisane w sesji są dostępne na wszystkich stronach aplikacji po wywołaniu session_start().

• Zakończenie sesji: Sesję można zakończyć za pomocą session_destroy(), co jest przydatne podczas wylogowywania użytkownika. Warto również wyczyścić tablicę $_SESSION.
• Bezpieczeństwo sesji: Ważne jest zabezpieczenie sesji, szczególnie w kontekście ataków typu session hijacking. Stosuje się różne metody, takie jak regeneracja ID sesji po zalogowaniu użytkownika (session_regenerate_id()).
• Konfiguracja sesji: PHP umożliwia konfigurację różnych aspektów sesji, takich jak czas życia ciasteczka sesyjnego, ścieżka przechowywania danych sesji na serwerze i inne. Konfiguracja ta może być zarządzana w pliku php.ini lub dynamicznie w skrypcie.
• Obsługa ciasteczek sesyjnych: Domyślnie PHP używa ciasteczek do przechowywania identyfikatora sesji. Można jednak zarządzać sesjami również bez ciasteczek, np. poprzez przekazywanie ID sesji w URL-u.
• Ograniczenia i problemy: Sesje są zależne od ciasteczek i konfiguracji serwera. Problemy mogą się pojawić, gdy użytkownik ma wyłączone ciasteczka lub gdy sesje są niepoprawnie zarządzane na poziomie serwera. Sesje wymagają zasobów serwera do przechowywania danych. Nadmierna liczba lub rozmiar danych sesji może wpłynąć na wydajność.

Identyfikator sesji

Identyfikator sesji to unikalny ciąg znaków przypisywany do użytkownika podczas każdej sesji na stronie internetowej. Służy do rozpoznawania żądań pochodzących od tego samego użytkownika w różnych zapytaniach HTTP. Zwykle jest to długi ciąg alfanumeryczny, generowany w sposób losowy lub za pomocą określonego algorytmu. Przykład identyfikatora:

6fgh8d42c21be6da92c2e2b5c55d6f3a

Po rozpoczęciu sesji w PHP serwer generuje unikalny identyfikator sesji i wysyła go do klienta, zazwyczaj w formie ciasteczka (cookie). W każdym kolejnym żądaniu od klienta identyfikator sesji jest odsyłany do serwera, pozwalając mu na identyfikację sesji użytkownika. Najczęściej identyfikator sesji jest przekazywany za pomocą ciasteczek, ale alternatywnie, może być przesyłany w URL-u lub w ukrytych polach formularzy.

Istnieje kilka możliwości odczytania identyfikatora sesji z poziomu aplikacji, na przykład można to zrobić za pomocą funkcji session_id(). Jeśli jest przechowywany w ciasteczku, znajduje się także bezpośrednio z globalnej tablicy $_COOKIE. Nazwa ciasteczka sesji zależy od ustawień konfiguracyjnych, ale domyślnie jest to PHPSESSID.

Jeśli przeglądarka użytkownika nie obsługuje ciasteczek, identyfikator sesji można przekazać w URL-u, ale jest to mniej bezpieczne. PHP oferuje mechanizm transmisji ID sesji w URL-u za pomocą funkcji session.use_trans_sid, która automatycznie dołącza ID sesji do URL-i, jednak jest to złe rozwiązanie, ponieważ niesie za sobą wiele potencjalnych problemów. Na przykład niezaawansowani technicznie użytkownicy mogą na przykład nieświadomie wysłać go innej osobie jako polecany link lub pozwolić komuś podejżeć identyfikator w pasku adresu przeglądarki. Kolejnym niebezpieczeństwem w takim przypadku są serwery proxy, logi systemów i inne mechanizmy mogące przechowywać URL-e. To wszystko zwiększa ryzyko przechwycenia identyfikatora sesji przez nieautoryzowane osoby, co może prowadzić do przejęcia sesji (session hijacking).

Po co potrzebne są sesje?

Sesje w kontekście programowania webowego, w tym w języku PHP, służą do przechowywania informacji o stanie użytkownika w trakcie jego interakcji z aplikacją internetową. Istnieje kilka głównych powodów, dla których sesje są niezbędne i stanowią kluczowy element w tworzeniu interaktywnych, bezpiecznych i wydajnych aplikacji internetowych, pozwalającym na zarządzanie stanem użytkownika w środowisku bezstanowym ,jakim jest HTTP.

• Protokół HTTP, na którym oparte są komunikacje w Internecie, jest bezstanowy, co oznacza, że każde żądanie do serwera jest traktowane jako niezależne. Sesje umożliwiają zapamiętywanie informacji o użytkowniku między różnymi żądaniami.
• Ze względu na powyższe sesje są szeroko stosowane do zarządzania logowaniem użytkowników. Po pomyślnym uwierzytelnieniu użytkownika sesja przechowuje informacje o jego tożsamości, pozwalając na dostęp do zasobów wymagających autoryzacji.
• Sesje pozwalają na przechowywanie w aplikacji informacji specyficznych dla danego użytkownika, takich jak preferencje, zawartość koszyka zakupowego, wybór języka itp.
• Sesje pomagają zabezpieczyć dane użytkownika, przechowując ważne informacje po stronie serwera, a nie w przeglądarce użytkownika. Jest to bezpieczniejsze niż przechowywanie wrażliwych danych w ciasteczkach, które są łatwiej dostępne i podatne na ataki.
• W aplikacjach interaktywnych, takich jak formularze wieloetapowe, gry online czy narzędzia, sesje pozwalają na zachowanie kontekstu działania użytkownika.
• Sesje mogą być również używane do balansowania obciążenia na serwerze, poprzez śledzenie, które serwery obsługują poszczególnych użytkowników w skonfigurowanym klastrze serwerów.

Funkcja session_start()

Funkcja session_start() w PHP jest niezbędna do rozpoczęcia lub wznowienia sesji. Aby uniknąć typowych problemów początkujących programistów, warto znać jej kilka własności:

• Funkcja session_start() musi być wywołana na początku skryptu, przed wysłaniem jakichkolwiek danych do przeglądarki. Jest to konieczne, ponieważ PHP wysyła nagłówki HTTP dotyczące sesji do przeglądarki, a nagłówki te muszą być wysłane przed jakąkolwiek treścią.
• Powinna być wywołana tylko raz w trakcie życia skryptu. Ponowne wywołanie tej funkcji może spowodować błędy lub nieoczekiwane zachowanie.
• Jeśli sesja już istnieje, session_start() ją wznowi. W przeciwnym przypadku rozpocznie nową sesję.
• Po wywołaniu session_start(), można używać superglobalnej tablicy $_SESSION do przechowywania i odczytu danych sesji.
• Domyślnie, PHP używa ciasteczek do przesyłania identyfikatora sesji między klientem a serwerem. Upewnij się, że przeglądarka klienta akceptuje ciasteczka, jeśli chcesz korzystać z sesji w ten sposób.
• Parametry konfiguracyjne PHP, takie jak session.save_handler, session.save_path, session.use_cookies i inne, mogą wpływać na działanie sesji. Upewnij się, że konfiguracja PHP jest odpowiednio ustawiona do Twoich potrzeb.
• Zaleca się stosowanie dodatkowych środków bezpieczeństwa, takich jak regeneracja ID sesji przy pomocy session_regenerate_id() podczas logowania, aby zapobiegać przejęciu sesji.
• Warto rozważyć obsługę błędów związaną z sesjami, na przykład sprawdzając, czy session_start() została wywołana pomyślnie.

Przykładowy skrypt

Poniżej znajdziesz prosty skrypt PHP, który demonstruje użycie sesji. W pierwszym wywołaniu rozpoczyna on sesję, a następnie zapisuje przykładowe dane do sesji. W kolejnych wywołaniach skryptu, dane z sesji są odczytywane. Aby zobaczyć. jak to działa, musisz kilkukrotnie odświeżyć stronę.

<?php
  session_start(); // Rozpoczyna sesję

  // Sprawdzenie, czy sesja już zawiera zapisane dane
  if (!isset($_SESSION['counter'])) {
      $_SESSION['counter'] = 0; // Inicjalizacja licznika, jeśli nie istnieje
  } else {
      $_SESSION['counter'] += 1; // Inkrementacja licznika
  }

  echo "Twój licznik odwiedzin na tej stronie: " . $_SESSION['counter'];
?>

Kiedy po raz pierwszy uruchomisz ten skrypt, utworzy on zmienną sesyjną counter i ustawi jej wartość na 0. Przy każdym kolejnym odświeżeniu strony, licznik ten będzie zwiększany o 1. Skrypt wyświetli liczbę odwiedzin na stronie na podstawie tej zmiennej.