10

Здравствуйте, все никак не могу понять разницы между куки и сеансом. Насколько мне известно, если в броузере отключен прием кук, то авторизацию и регистрацию пользователь не пройдет, исходя из этих соображений для регистрации я делаю на session_start, но если я в броузере выключаю куки, то все ровно не заходит.

Как работать с куки и сессиями? В каждом файле надо делать проверку на существование сессии, для того, чтобы если их нет, то человек не смог зайти на эту страницу? Еще я замечал на некоторых сайтах, что в броузерной строке по мимо адреса еще есть session_name и session_id. Как это делается и для чего?

Пожалуйста, объяснить мне простыми словами, а не заученными терминами, как и с чем работать? Что и для чего надо? Можно с примерами в которых будет пояснение, спасибо.

1
  • При работе с сессий куки нужны только для сохранения PHPSESSID в ппеделах сеанса. Т.е. при отключенных куках все равно ничего хорошего не выйдет, но в сессии можно (но не нужно) хранить большие объемы данных, к тому же они недоступны юзеру для изменения напрямую.
    – Sh4dow
    16 мар 2012 в 12:53

3 ответа 3

18

Это разные явления.

Cookie — это просто пара имя-значение, которую (точнее, которые) сервер может оставить у клиента (браузера). Наглядно:

  1. Приходит клиент, спрашивает у сервера страницу.
  2. Сервер в заголовках ответе может установить cookies. Например, выдав два заголовка: Set-Cookie: foo=123 и Set-Cookie: bar=baz — по-русски — «запомни, foo — 123, а bar — baz».
  3. При следующем обращении клиент, если он решил запомнить, говорит серверу «Cookie: bar=baz; foo=123».

Упрощенно, не затрагивая тонкости — все, вот все, что представляют собой cookies.

Сессии — более эфемерное понятие, которое не привязано к какой-то конкретной реальной технологии. Это просто некая методика, которая позволяет отличить одного клиента от другого, и, как правило, где-то хранить связанные с каждым клиентом данные.

Как правило, сессии реализуются используя cookies и идентификаторы сессий. Т.е. сервер со своей стороны создает уникальный идентификатор, например, «1a2b3c» (session_id про который вы справшивали), а клиента просит его запомнить. Обычно — при помощи cookies, говоря что-то в духе Set-Cookie: PHPSESSID=1a2b3c (где «PHPSESSID» — имя сессии, обычно, оно только одно, вести параллельно несколько сессий нужно редко). Со своей стороны сервер где-то (зависит от реализации, иногда это файл, например, /tmp/1a2b3c, иногда запись в БД, иногда еще что-то) хранит различные данные, которые ему приказано связывать с этой сессией. Например, имя пользователя.

PHP'шные сессии использовали не только cookies, но и аргументы в адресной строке. Т.е. перед отдачей страницы пользователю «переписывали» все ссылки в ней, добавляя свое «?PHPSESSID=1a2b3c». И клиент вместо «/forum.php» шел на «/forum.php?PHPSESSID=1a2b3c». Таким образом сервер получал идентификатор сессии и все работало. Сейчас PHP по умолчанию такого не делает — у этого метода есть куча своих недостатков. Хотите включить — напишите ini_set('session.use_trans_sid', true);, но нужно понимать связанные риски.

Еще можно хранить идентификаторы сессий в других местах. Например, Local Shared Objects («флэшевские cookie»), использовать возможности хранилищ HTML5, и еще ряде менее тривиальных мест, но PHP этого «из коробки» не умеет.

Соответственно, раз и cookies и поддержка use_trans_sid (перезаписи адресов) отключены, то PHP не может нигде оставить у клиента «метку». И сессии, по сути, не работают. Это, в общем-то, не должно быть проблемой — если клиенту надо — он включит cookies.

Еще момент. Сами по себе сессии не дают авторизации — это только хранилище. Авторизацию делаете Вы сами (или фреймворк, которым Вы воспользовались). Вы пользуетесь тем, что данные, связанные с сессией (в типичной PHP'шной реализации) хранятся на сервере, и клиент их там подменить не может.

Соответственно, когда клиент аутентифицируется — в сессии сохраняется кто он. Обратно — если у нас в сессии записано кто он — можно этому верить. Вся дальнейшая логика — пускать ли клиента, давать ли ему какие-то возможности и т.д. — на Вас.

Как работать с куки и сессиями? В каждом файле надо делать проверку на существование сессии, для того чтобы если их нет то человек не смог зайти на эту страницу?

Зависит от того, что Вы хотите, и от того, как Вы все строите. Если к этой странице должен быть доступ только у авторизованных пользователей — да, как вариант, так.

Иногда все запросы пропускают через один скрипт-«диспетчер». Иногда во все скрипты в начало вставляют include, которое инициализирует общую для всего сайта логику (сессии, авторизация).

4

Сессия создается на сервере, а куки хранятся у пользователя на компьютере. Протокол HTTP не может определять связь между двумя запросами одного и того же пользователя. Для этого мы создаем переменные сессии. Важно понимать, что эти переменные сохраняются даже после завершения выполнения php сценария.

Идентификатор сессии автомаически сохраняется в браузере пользователя в виде cookie, а если браузер cookie не поддерживает - идентификатор добавляется автоматически к адресу страницы и всем ссылкам на ней. Это значит, что при обновлении страницы браузер сам отправит на сервер идентификатор сессии, независимо от действий пользователя.

1

Как в таком случае работать: перенаправлять на главную и указывать, что куки по-хорошему бы надо включить.
session_name задает имя сессии на случай, если надо разделить сессии в пределах одного домена. Хотя это лучше не делать через адресную строку, а использовать в коде.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.