PHP中实现基于session和Cookie的会话控制
这里值介绍如何使用cookie与session，cookie与session之间的区别相见
http://www.cnblogs.com/mo-beifeng/archive/2011/07/13/2104884.html
/*****************Cookie技术**************************/
1、用户访问服务器，服务器返回数据设置浏览器端的cookie的值
2、就是借助客户端电脑的一个文件，来保存访问用户的信息，在访问同一个网站的各个页面都会带着些信息过去，服务器在每个页面通过这些信息，就知道是哪个用户在访问。
3、cookie是头信息，（服务器向网页发送内容首先是状态，再是头信息，然后是内容）
4、bool setcookie ( string name [, string value [, int expire [, string path [, string domain [, bool secure]]]]] )
表格 1. setcookie() 参数详解
参数 | 说明 | 举例 |
name | Cookie 的名字。 | 使用 $_COOKIE['cookiename'] 调用名为 cookiename 的 cookie。 |
value | Cookie 的值。此值保存在客户端，不要用来保存敏感数据。 | 假定 name 是 'cookiename'，可以通过 $_COOKIE['cookiename'] 取得其值。 |
expire | Cookie 过期的时间。这是个 Unix 时间戳，即从 Unix 纪元开始的秒数。换而言之，通常用 time() 函数再加上秒数来设定 cookie 的失效期。或者用 mktime()来实现。 | time()+60*60*24*30 将设定 cookie 30 天后失效。如果未设定，cookie 将会在会话结束后（一般是浏览器关闭）失效。 |
path | Cookie 在服务器端的有效路径。 | 如果该参数设为 '/' 的话，cookie 就在整个 domain 内有效，如果设为 '/foo/'，cookie 就只在 domain 下的 /foo/ 目录及其子目录内有效，例如 /foo/bar/。默认值为设定 cookie 的当前目录。 |
domain | 该 cookie 有效的域名。 | 要使 cookie 能在如 example.com 域名下的所有子域都有效的话，该参数应该设为'.example.com'。虽然 . 并不必须的，但加上它会兼容更多的浏览器。如果该参数设为www.example.com 的话，就只在 www 子域内有效。细节见 Cookie 规范中的 tail matching。 |
secure | 指明 cookie 是否仅通过安全的 HTTPS 连接传送。当设成TRUE 时，cookie 仅在安全的连接中被设置。默认值为FALSE。 | 0 或 1 |
例子 1. setcookie() 发送例子
setcookie("TestCookie", $value);
setcookie("TestCookie", $value,time()+3600); /* expire in 1 hour */
setcookie("TestCookie", $value,time()+3600, "/~rasmus/", ".utoronto.ca", 1);
注意 cookie 中值的部分在发送的时候会被自动用 urlencode 编码并在接收到的时候被自动解码并把值赋给与自己同名的 cookie 变量。如果不想这样并且在使用 PHP 5 的话，可以用 setrawcookie() 来代替。下面这个简单的例子可以得到刚才所设定的 cookie 的值：
// 输出单独的 cookie
echo $_COOKIE["TestCookie"];
echo $HTTP_COOKIE_VARS["TestCookie"];
// 另一个调试的方法就是输出所有的 cookie
print_r($_COOKIE);
?>
要删除 cookie 需要确保它的失效期是在过去，才能触发浏览器的删除机制。下面的例子说明了如何删除刚才设置的 cookie：
例子 2. setcookie() 删除例子
setcookie("TestCookie", "", time() - 3600);
setcookie("TestCookie", "", time() - 3600, "/~rasmus/", ".utoronto.ca", 1);
/***************** Session技术**************************/
抛开Cookie使用SESSION－PHP中SESSION不能跨页传递问题的解决办法
在PHP中使用过SESSION的朋友可能会碰到这么一个问题，SESSION变量不能跨页传递。这令我苦恼了好些日子，最终通过查资料思考并解决了这个问题。我认为，出现这个问题的原因有以下几点：
1、客户端禁用了cookie
2、浏览器出现问题，暂时无法存取cookie
3、php.ini中的session.use_trans_sid = 0或者编译时没有打开--enable-trans-sid选项
为什么会这样呢？下面我解释一下：
Session 储存于服务器端（默认以文件方式存储session），根据客户端提供的session id来得到用户的文件，取得变量的值，session id可以使用客户端的Cookie或者Http1.1协议的Query_String（就是访问的URL的“?”后面的部分）来传送给服务器，然后服务器 读取Session的目录。也就是说，session id是取得存储在服务上的session变量的身份证。当代码session_start();运行的时候，就在服务器上产生了一个session文件， 随之也产生了与之唯一对应的一个session id，定义session变量以一定形式存储在刚才产生的session文件中。通过session id，可以取出定义的变量。跨页后，为了使用session，你必须又执行session_start();将又会产生一个session文件，与之对应 产生相应的session id，用这个session id是取不出前面提到的第一个session文件中的变量的，因为这个session id不是打开它的“钥匙”。如果在session_start();之前加代码session_id($session id);将不产生新的session文件，直接读取与这个id对应的session文件。
PHP中的session在默认情况下是使用客户端的 Cookie来保存session id的,所以当客户端的cookie出现问题的时候就会影响session了。必须注意的是：session不一定必须依赖cookie，这也是 session相比cookie的高明之处。当客户端的Cookie被禁用或出现问题时，PHP会自动把session id附着在URL中,这样再通过session id就能跨页使用session变量了。但这种附着也是有一定条件的，即“php.ini中的session.use_trans_sid = 1或者编译时打开打开了--enable-trans-sid选项”。
明白了以上的道理，现在我们来抛开cookie使用session,主要途径有三条：
1、设置php.ini中的session.use_trans_sid = 1或者编译时打开打开了--enable-trans-sid选项，让PHP自动跨页传递session id。
2、手动通过URL传值、隐藏表单传递session id。
3、用文件、数据库等形式保存session_id,在跨页过程中手动调用。
通过例子来说明吧：
s1.phps2.php
<?php
$_SESSION['var1']="中华人民共和国";
$url="<a href=".""s2.php">下一页</a>";
echo $url;
?>
session_start();
echo "传递的session变量var1的值为：".$_SESSION['var1'];
?>
运行以上代码，在客户端cookie正常的情况下，应该可以在得到结果“中华人民共和国”。
现在你手动关闭客户端的cookie，再运行，可能得不到结果了吧。如果得不到结果，再“设置php.ini中的session.use_trans_sid = 1或者编译时打开打开了--enable-trans-sid选项”，又得到结果“中华人民共和国”
这也就是上面所说的途径1。
下面再说途径2：
修改的代码如下：
s1.php
<?php
$_SESSION['var1']="中华人民共和国";
$sn = session_id();
$url="<a href=".""s2.php?s=".$sn."">下一页</a>";
echo $url;
?>
s2.php办法3：
session_id($_GET['s']);
session_start();
echo "传递的session变量var1的值为：".$_SESSION['var1'];
?>
<html><head>
<title>Login</title>
<meta http-equiv="Content-Type" content="text/html; charset=GB2312">
</head>
<body> 请登录：
<form name="login" method="post"
action="mylogin1.php">
用户名:<input type="text" name="name"><br>
口 令:<input type="password" name="pass"><br>
<input type="submit" value="登录">
</form>
</body>
</html>
mylogin1.php
$name=$_POST['name'];
$pass=$_POST['pass'];
if(!$name || !$pass) {
echo "用户名或密码为空，请<a href="login.html">重新登录</a>";
die();
}
if (!($name=="laogong" && $pass=="123")) {
echo "用户名或密码不正确，请<a href="login.html">重新登录</a>";
die();
}
//注册用户
ob_start();
session_start();
$_SESSION['user']= $name;
$psid=session_id();
$fp=fopen("e:\tmp\phpsid.txt","w+");
fwrite($fp,$psid);
fclose($fp);
//身份验证成功，进行相关操作
echo "已登录<br>";
echo "<a href="mylogin2.php">下一页</a>";
?>
mylogin2.php
$fp=fopen("e:\tmp\phpsid.txt","r");
$sid=fread($fp,1024);
fclose($fp);
session_id($sid);
session_start();
if(isset($_SESSION['user']) && $_SESSION['user']="laogong" ) {
echo "已登录!";
}
else {
//成功登录进行相关操作
echo "未登录，无权访问";
echo "请<a href="login.html">登录</a>后浏览";
die();
}
?>
同样请关闭cookie测试，用户名：laogong 密码：123 这是通过文件保存session id的，文件是：e:\tmp\phpsid.txt，请根据自己的系统决定文件名或路径。
至于用数据库的方法，我就不举例子了，与文件的方法类似。
总结一下，上面的方法有一个共同点，就是在前一页取得session id，然后想办法传到下一页，在下一页的session_start();代码之前加代码session_id(传过来的session id);
Session_start()
Session_unset() 销毁值,sessionID还在
Session_destroy()
Unset() 销毁单个变量
Php.ini配置（修改以后要重启apache才有效）
注意事项：
1、一般为了保证服务器的安全，session.save_path值最好设置为外网无法访问的目录，另外如果你是在linux服务器下进行session配置，请务必同时配置此目录为可读写权限，否则在执行session操作时会报错。
2、在使用session变量时，为了保证服务器的安全性，最好将register_globals设置为off，以保证全局变量不混淆，在使用session_register()注册session变量时，你可以通过系统全局变量$_SESSION来访问，比如你注册了leapsoulcn变量，你可以通过$_SESSION['leapsoulcn']来访问此变量。PHP环境变量$_SERVER和系统常量详细说明
其他session配置说明
session.use_trans_sid 启用SID的支持
session.save_path=
你可以使用”N;[MODE;]/path”这样模式定义该路径，N是一个整数，表示使用N层深度的子目录，而不是将所有数据文件都保存在一个目录下。
[MODE;]可选，必须使用8进制数，默认600(=384)，表示每个目录下最多保存的会话文件数量。[MODE;]并不会改写进程的umask。php不会自动创建这些文件夹结构。可使用ext/session目录下的mod_files.sh脚本创建。如果该文件夹可以被不安全的用户访问(比如默认的”/tmp”)，那么将会带来安全漏洞。当N>0时自动垃圾回收将会失效，具体参见下面有关垃圾搜集的部分。
如果你服务器上有多个虚拟主机，建议针对每个不同的虚拟主机分别设置各自不同的目录。
session.use_cookies =1
是否使用cookies在客户端保存会话sessionid，默认为采用cookies
session.use_only_cookies = 0
是否仅仅使用cookie在客户端保存会话sessionid，这个选项可以使管理员禁止用户通过URL来传递id，默认为0，如果禁用的话，客户端如果禁用Cookie将使session无法工作。
session.name = “PHPSESSID” 当做cookie name来使用的session标识名
session.cookie_path = '/' 注销是也要加上/
session.cookie_domain = '' 根据cookie的规范来产生的cookie文件的名字。
session.auto_start = 0
是否自动启动session，默认不启动，我们知道在使用session功能时，我们基本上在每个php脚本头部都会通过session_start()函数来启动session，如果你启动这个选项，则在每个脚本头部都会自动启动session，不需要每个脚本头部都以session_start()函数启动session，推荐关闭这个选项，采用默认值。
session.cookie_lifetime = 0
传递sessionid的Cookie有效期(秒)，0表示仅在浏览器打开期间有效。
session.save_handler = ”files”
默认以文件方式存取session数据，如果想要使用自定义的处理器来存取session数据，比如数据库，用”user”。
session.gc_maxlifetime = 1440
设定保存的session文件生存期，超过此参数设定秒数后，保存的数据将被视为’垃圾’并由垃圾回收程序清理。判断标准是最后访问数据的时间(对于FAT文件系统是最后刷新数据的时间)。如果多个脚本共享同一个session.save_path目录但session.gc_maxlifetime不同，将以所有session.gc_maxlifetime指令中的最小值为准。
如果你在session.save_path选项中设定使用子目录来存储session数据文件，垃圾回收程序不会自动启动，你必须使用自己编写的shell脚本、cron项或者其他办法来执行垃圾搜集。
session.gc_probability=1
session.gc_divisor=100
这两个合起来就是启动gc进程管理概率的
初使化时（session_start()）
session.gc_probability/session.gc_divisor
1/100
即每执行一百次执行一次垃圾回收。根据访问的人数来定。
