如何設(shè)置一個嚴(yán)格30分鐘過期的Session(轉(zhuǎn))

博雅書屋lhs 2016-10-19

展開全文

作者: Laruence( )
本文地址: http://www./2012/01/10/2469.html
轉(zhuǎn)載請注明出處

今天在我的微博(Laruence)上發(fā)出一個問題:

我在面試的時候, 經(jīng)常會問一個問題: “如何設(shè)置一個30分鐘過期的Session?”, 大家不要覺得看似簡單, 這里面包含的知識挺多, 特別適合考察基本功是否扎實, 誰來回答試試? 呵呵

為什么問這個問題呢? 1. 我在Twitter上看到了有人討論這個問題, 2 想起來我經(jīng)常問這個問題, 所以~~

在這里, 我來解答下這個題目.

第一種回答

那么, 最常見的一種回答是: 設(shè)置Session的過期時間, 也就是session.gc_maxlifetime, 這種回答是不正確的, 原因如下:

1. 首先, 這個PHP是用一定的概率來運行session的gc的, 也就是session.gc_probability和session.gc_divisor(介紹參看深入理解PHP原理之Session Gc的一個小概率Notice), 這個默認(rèn)的值分別是1和100, 也就是有1%的機會, PHP會在一個Session啟動時, 運行Session gc. 不能保證到30分鐘的時候一定會過期.

2. 那設(shè)置一個大概率的清理機會呢? 還是不妥, 為什么? 因為PHP使用stat Session文件的修改時間來判斷是否過期, 如果增大這個概率一來會降低性能, 二來, PHP使用”一個”文件來保存和一個會話相關(guān)的Session變量, 假設(shè)我5分鐘前設(shè)置了一個a=1的Session變量, 5分鐘后又設(shè)置了一個b=2的Seesion變量, 那么這個Session文件的修改時間為添加b時刻的時間, 那么a就不能在30分鐘的時候, 被清理了. 另外還有下面第三個原因.

3. PHP默認(rèn)的(Linux為例), 是使用/tmp 作為Session的默認(rèn)存儲目錄, 并且手冊中也有如下的描述:

Note: 如果不同的腳本具有不同的 session.gc_maxlifetime 數(shù)值但是共享了同一個地方存儲會話數(shù)據(jù)，則具有最小數(shù)值的腳本會清理數(shù)據(jù)。此情況下，與 session.save_path 一起使用本指令。

也就是說, 如果有倆個應(yīng)用都沒有指定自己獨立的save_path, 一個設(shè)置了過期時間為2分鐘(假設(shè)為A), 一個設(shè)置為30分鐘(假設(shè)為B), 那么每次當(dāng)A的Session gc運行的時候, 就會同時刪除屬于應(yīng)用B的Session files.

所以, 第一種答案是不”完全嚴(yán)格”正確的.

第二種答案

還有一種常見的答案是: 設(shè)置Session ID的載體, Cookie的過期時間, 也就是session.cookie_lifetime. 這種回答也是不正確的, 原因如下:

這個過期只是Cookie過期, 換個說法這點就考察Cookie和Session的區(qū)別, Session過期是服務(wù)器過期, 而Cookie過期是客戶端(瀏覽器)來保證的, 即使你設(shè)置了Cookie過期, 這個只能保證標(biāo)準(zhǔn)瀏覽器到期的時候, 不會發(fā)送這個Cookie(包含著Session ID), 而如果通過構(gòu)造請求, 還是可以使用這個Session ID的值.