0

Собираюсь реализовать "сессии" через БД(встроенный в PHP механизм не подходит по ряду причин). "Сессии" понадобятся только для того чтобы идентифицировать зарегистрированного пользователя, никакие сессионные переменные(кроме перечисленных в таблице) не нужны. Таблица будет примерно вот такой:

CREATE TABLE sessions(

      `id`     bigint NOT NULL PRIMARY KEY
    , `sid`    varchar(64) NOT NULL
    , `ip`     int unsigned NOT NULL
    , `oneip`  tinyint NOT NULL
    , `date`   int unsigned NOT NULL
    , `rme`    tinyint NOT NULL
    , `uid`    bigint NOT NULL


) ENGINE=MyISAM DEFAULT CHARSET=utf8;

По sid нужно будет получить id юзера(uid). Естественно, поиск должен быть моментальным, т.е. перебора по всем записям по sid не должно быть.

Возникает два варианта:

  1. id bigint NOT NULL PRIMARY KEY, sid - обычный varchar. Поиск выполнять по id, т.е. $result = $db->query("SELECT uid from sessions where id = ? and sid = ?", $_COOKIE['id'], sid_hash($_COOKIE['sid']));

  2. убрать id, сделать sid varchar(64) NOT NULL PRIMARY KEY, поиск выполнять

    так: $result = $db->query("SELECT uid from sessions where and sid = ?", sid_hash($_COOKIE['sid']));

Mysql я не так хорошо знаю, может в первом случае поиск будет быстрее, из-за того что id - число, может во втором случае таблица будет весить больше, из-за того что строка является индексом. Подозреваю, что 1) да, но незначительно быстрее и 2) нет, не будет весить больше. Но необходимо знать точно.

3
  • А по каким причинам не подходят дефолтные сессии? Если их нужно шарить с каким-то другим сервисом, то посмотрите в сторону сессий через redis, переключается легко и без велосипедов.
    – kroder
    7 янв 2016 в 9:38
  • Почему не подходят дефолтные сессии? Ну ок: 1. Как вы сделаете галочку "запомнить меня"? Отключать сборщик мусора? Круто. 2. Как вы посчитаете количество юзеров онлайн? Не проще ли это будет через самописанные сессии сделать? 3. Как вы посчитаете количество сессий для аккаунта, с которого сидите? Как вы можете закрыть другие сессии?
    – Cladoxylon
    7 янв 2016 в 14:02
  • Ну галочка куками делается, зачем для этого вечные сессии. Так же как и подсчеты всяческие - вам по сути нужна доп инфа в бд, сами сессии при этом можно вообще не трогать. Закрывать другие тоже предполагается например через сброс токена у юзера (который идет в куки, через которые сделано запомнить-меня). Не подумайте что я наставаю и мне шибко интересно вникать. Ж) просто предположил случай с необходимостью шаринга юзеров, а так бог в помощь.
    – kroder
    7 янв 2016 в 18:15

2 ответа 2

1

Почитайте про индексы, потому как primary key это частный случай индекса, который ускоряет доступ. Наиболее логично тут было оставить primary key на колонке id и построить отдельный индекс на колонку sid. Да, индекс занимает место на диске. Но он того в общем стоит.

Но это если походить к задаче "в лоб". Лично я вообще бы не хранил длиннющий sid. Можно взять некое случайное число, даже не особо большое, составить в скрипте у себя строку скажем такую id:random:secret, где id - это id из вашей таблицы сессий, т.е. id сессии, secret некая строка, которая известна только у вас на севере, она один раз создается, записывается в скрипт и больше никогда не меняется. После чего считаете MD5 или SHA-1 или любой другой понравившийся хеш от этой строки. Далее собираете sid в виде этого хеша в шестнадцетиричном виде (он фиксированной длины) вашего id в шестнадцетиричном и через какой нибудь разделитель (например букву z) то случайное число (так же в hex).

При получении такого sid от клиента, вы substr вырезаете от его начала известную длину хеша (32 байта для md5 в hex), остальную часть разбиваете по разделителю на id и random. переводите id и random в десятичную систему, составляете из них контрольную строку id:random:secret, считаете от нее md5 и сверяете с тем md5, который был в начале sid. Так вы без единого обращения к базе получили готовый id-сессии и проверили, что никто его не подменил. Остается заглянуть в базу по id и убедится, что сессия не истекла.

Если хотите sid покороче, никто не мешает вам класть в него не весь md5, а скажем его половину.

P.S. и MyISAM замените на InnoDB. Второй во первых компактнее, а во вторых таблицы не приходится восстанавливать после аварийного завершения сервера.

5
  • Да, вы предложили хороший вариант. Но это надо ещё подумать. Взвесить все плюсы и минусы. Если каким-то образом удастся (например перебором) вычислить secret, то это позволит использовать любую сессию. Но если же выбрать мой вариант, то зачем ставить на sid индекс, если поиск будет по id, который primary key? По id найдется строка и надо будет всего-навсего сравнить sid соответствующей строки в БД и в cookie.
    – Cladoxylon
    7 янв 2016 в 13:55
  • @Cladoxylon Вы делаете sercet символов 16 и более, подобрать за полиномиальное время не реально. Если же его как то получили, добравшись до исходников вашего скрипта или конфига - значит они получат и так гораздо больше интересного. И эта проблема будет серьезней подмены sid. И у вас в вопросе ни слова про быстрое получение ID не было. Да, вы можете его передать клиенту в самом SID и проверить потом быстро, он при (sid=sid and id=id) пойдет по primary
    – Mike
    7 янв 2016 в 14:01
  • Ну я понимаю, соль можно сделать какой угодно. Меня просто чуток напрягает, что зная алгоритм и соль можно подделать любую сессию, что не сделаешь в моем варианте, даже имея доступ к базе, даже имея доступ ко всем исходникам(хотя какие нафиг сессии, когда есть доступ к исходникам). Короче, Ваш вариант все-таки правильней, раз sid не придется хранить в базе.
    – Cladoxylon
    7 янв 2016 в 14:17
  • 1
    @Cladoxylon Если есть доступ к базе, то все sid можно получить от туда :) И никто не мешает совместить способы. Используя дополнительный random bigint используемый при md5, хранящийся только в базе и отсутствующий в sid. тогда по id из sid получаем запись в базе, второй random, считаем md5. У меня в одном проекте sid вообще из 2 частей, первую проверяет фронтэнд, а вторую бакэнед, таким образом получение шелла на фронэнд позволяет подменять только действия обращающихся пользователей, но не получить произвольный доступ ко всему.
    – Mike
    7 янв 2016 в 14:26
  • "Если есть доступ к базе, то все sid можно получить от туда :)" Неа. в куки хранится рандомная строка, в базе - хэш этой строки. Зная хэш вы, естественно, не сможете без перебора узнать строку.
    – Cladoxylon
    7 янв 2016 в 14:29
0

В PHP можно заменить механизм обработчика сессий со стандартного (в большинстве случаев - хранение в файлах) на пользовательский:

ini_set('session.save_handler', 'user');

И далее определяются свои функции обработки сессионных данных, в которых уже можно указать, где и как будут храниться сессии, например:

session_set_save_handler ('sess_open', 'sess_close', 'sess_read', 'sess_write', 'sess_destroy', 'sess_gc');
function sess_open (param) {
...
}

Посмотрев на структуру Вашей БД, у меня сложилось впечатление, что Вы не совсем представляете, зачем нужны и как используются сессии. Например, зачем хранить в таблице с сессиями uid? Ведь не зарегистрированный пользователь, зашедший на сайт вряд ли будет иметь uid? Также, зачем 2 колонки: id и sid, если достаточно только одной - sid, в которой и будет храниться уникальный идентификатор сессии. Еще я не нашел в Вашей таблице колонку (например sess_data), в которой бы хранились сессионные переменные (тот же самый uid).

Рекомендую Вам более подробно ознакомиться с механизмом работы сессий, перед созданием собственного механизма, посмотреть примеры, на том же github.com, после чего, уверен, у Вас появятся более "правильные" вопросы.

По существу вопроса: поиск только по session id: $result = $db->query("SELECT col1, col2, ... from sessions where sid = ?", $session_id);, индексировать колонку sid не нужно, записей там много быть не должно, так как сессионные данные, обычно, хранятся в течение нескольких часов, после чего удаляются функцией сборщика мусора.

2
  • "индексировать колонку sid не нужно, записей там много быть не должно, так как сессионные данные, обычно, хранятся в течение нескольких часов, после чего удаляются функцией сборщика мусора." Неа. Тут будет учитываться галочка "запомнить меня", собственно это одна из причин почему механизм "сессий" должен быть самописанным(занулять session.gc_probability - не вариант, конечно)
    – Cladoxylon
    7 янв 2016 в 1:37
  • Подправил вопрос, там ответы на: "Например, зачем хранить в таблице с сессиями uid?", "Также, зачем 2 колонки: id и sid", "Еще я не нашел в Вашей таблице колонку (например sess_data),"
    – Cladoxylon
    7 янв 2016 в 2:09

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.