目錄

• 一、啟動(dòng) Session 會(huì)話，并創(chuàng)建一個(gè) $admin 變量：
• 二、驗(yàn)證提交數(shù)據(jù)
• 三、判斷是否登陸：
• 四、如果要登出系統(tǒng)怎么辦？銷(xiāo)毀 Session 即可。
• 五、設(shè)置生存周期

對(duì)比起Cookie，Session 是存儲(chǔ)在服務(wù)器端的會(huì)話，相對(duì)安全，并且不像 Cookie 那樣有存儲(chǔ)長(zhǎng)度限制。由于 Session 是以文本文件形式存儲(chǔ)在服務(wù)器端的，所以不怕遠(yuǎn)程用戶修改 Session 內(nèi)容。實(shí)際上在服務(wù)器端的 Session 文件，PHP 自動(dòng)修改 Session 文件的權(quán)限，只保留了系統(tǒng)讀和寫(xiě)權(quán)限，而且不能通過(guò) ftp 修改，所以安全得多。

因?yàn)榭蛻舳?Cookie 中的信息是有可能被修改的。假如你存儲(chǔ) $admin 變量來(lái)表示用戶是否登陸，$admin 為 true 的時(shí)候表示登陸，為 false 的時(shí)候表示未登錄，在第一次通過(guò)驗(yàn)證后將 $admin 等于 true 存儲(chǔ)在 Cookie，下次就不用驗(yàn)證了，這樣對(duì)么？錯(cuò)了，假如有人偽造一個(gè)值為 true 的 $admin 變量那不是就立即取的了管理權(quán)限么？非常的不安全。

而 Session 就不同了，我們可以單純存儲(chǔ)一個(gè) $admin 變量來(lái)判斷是否登陸，首次驗(yàn)證通過(guò)后設(shè)置 $admin 值為 true，以后判斷該值是否為 true，假如不是，轉(zhuǎn)入登陸界面，這樣就可以減少很多數(shù)據(jù)庫(kù)操作了。

一、啟動(dòng) Session 會(huì)話，并創(chuàng)建一個(gè) $admin 變量：

<?php
//  啟動(dòng) Session
session_start();
//  聲明一個(gè)名為 admin 的變量，并賦空值。
$_SESSION["admin"] = null;
?>

二、驗(yàn)證提交數(shù)據(jù)

假設(shè)數(shù)據(jù)庫(kù)存儲(chǔ)的是用戶名和 md5 加密后的密碼：

login.php:

<?php
//  表單提交后...
$posts = $_POST;
//  清除一些空白符號(hào)
foreach ($posts as $key => $value) {
    $posts[$key] = trim($value);
}
$password = md5($posts["password"]);
$username = $posts["username"]; 

$query = "SELECT `username` FROM `user` WHERE `password` = "$password" AND `username` = "$username"";
//  取得查詢(xún)結(jié)果
$userInfo = $DB->getRow($query); 

if (!empty($userInfo)) {
    //  當(dāng)驗(yàn)證通過(guò)后，啟動(dòng) Session
    session_start();
    //  注冊(cè)登陸成功的 admin 變量，并賦值 true
    $_SESSION["admin"] = true;
} else {
    die("用戶名密碼錯(cuò)誤");
}
?>

三、判斷是否登陸：

<?php
//  防止全局變量造成安全隱患
$admin = false;
//  啟動(dòng)會(huì)話，這步必不可少
session_start();
//  判斷是否登陸
if (isset($_SESSION["admin"]) && $_SESSION["admin"] === true) {
    echo "您已經(jīng)成功登陸";
} else {
    //  驗(yàn)證失敗，將 $_SESSION["admin"] 置為 false
    $_SESSION["admin"] = false;
    die("您無(wú)權(quán)訪問(wèn)");
}
?>

四、如果要登出系統(tǒng)怎么辦？銷(xiāo)毀 Session 即可。

<?php
session_start();
//  這種方法是將原來(lái)注冊(cè)的某個(gè)變量銷(xiāo)毀
unset($_SESSION["admin"]);
//  這種方法是銷(xiāo)毀整個(gè) Session 文件
session_destroy();
?>

注釋?zhuān)?/strong>session_destroy() 將重置 session，您將失去所有已存儲(chǔ)的 session 數(shù)據(jù)。

<?php
session_start();
//  保存一天
$lifeTime = 24 * 3600;
setcookie(session_name(), session_id(), time() + $lifeTime, "/");
?>

<?php
//  保存一天
$lifeTime = 24 * 3600;
session_set_cookie_params($lifeTime);
session_start();
$_SESSION["admin"] = true;
?>

<?php
//  保存一天
$lifeTime = 24 * 3600;
//  取得當(dāng)前 Session 名，默認(rèn)為 PHPSESSID
$sessionName = session_name();
//  取得 Session ID
$sessionID = $_GET[$sessionName];
//  使用 session_id() 設(shè)置獲得的 Session ID
session_id($sessionID); 

session_set_cookie_params($lifeTime);
session_start();
$_SESSION["admin"] = true;
?>

<?php
//  設(shè)置一個(gè)存放目錄
$savePath = "./session_save_dir/";
//  保存一天
$lifeTime = 24 * 3600;
session_save_path($savePath);
session_set_cookie_params($lifeTime);
session_start();
$_SESSION["admin"] = true;
?>