Page 1
PHPセッション入門
Introduction to PHP Session
2017-12-01 ピクシブ社内勉強会
Page 4
この発表は新規のWebサイトWebアプリケーションフレームワークに依存しないPHP開発を推奨する目的ではない
Page 7
この用語(セッション)が意味するところはいろいろあるけど
Page 13
Webブラウザでセッションを実現するには、一般的にはCookie(クッキー)が利用される
Page 16
セッションの実装はWebサイトのプライバシーポリシーと密接に関連する
Page 18
TIPS
Cookieを使ったセッションを利用するときはプライバシーポリシーを明記しよう
Page 21
name.php
<?php
session_start();
// これで別ページでも session_start() すれば// $_SESSION['name'] として参照できるようになる$_SESSION['name'] = '太郎';header('Location: /betsu.php');
Page 22
betsu.php
<?php session_start() ?>
<p>こんにちは<?= htmlspecialchars($_SESSION['name']) ?>さん</p>
Page 23
TIPS
PHPのフレームワークはセッション機構がいい感じに統合されてることがある。ただし、マイクロフレームワークではオミットされてることが多くPHPデフォルトのセッションを気にする必要がある。
Page 24
TIPS
session_start()および後述するセッション設定は個別のページで呼ぶのではなく、共通初期化スクリプトに記述すること
Page 25
まあとりあえずsession_start()で簡単にできる
Page 31
よし、Webサイトを見よう
GET /index HTTP/1.1 Host: example.com
Webサイト
Page 35
RFC 6265 HTTP State Management Mechanism
Page 36
HTTP上でWebサイトとUA(ブラウザ)が状態を共有するためのしくみ
Page 39
Cookieに対応したユーザーエージェント(Webブラウザ)がSet-Cookieを受け取ると、次からそのサイトにリクエストするときにCookieヘッダを付加する
Page 40
次回に訪問するとき
GET /index HTTP/1.1 Host: example.com Cookie:PHPSESSID=xxxxx
Webサイト
Page 41
次回に訪問するとき
おっこいつは前も来たxxxxだな
「こんちわー またきたね」
GET /index HTTP/1.1 Host: example.com Cookie:PHPSESSID=xxxxx
Webサイト
Page 44
Ｑ.どうしてセッションは特に設定しなくても動くのはなぜ？
Page 45
Ａ.PHPはきみのことをファイルに保存して覚えてるからだよ
Page 50
session_save_path()保存するディレクトリを設定できる
Page 51
http://php.net/manual/ja/function.session-save-path.php
Page 58
Ａ.サーバーを増やして分散させた瞬間に、セッションが消えたりする
Page 63
http://php.net/manual/ja/class.sessionhandlerinterface.php
Page 65
MySessHandler.php
<?php
class MySessHandler implements SessionHandlerInterface{// 実装…}
Page 66
bootstrap.php
<?php
$handler = new MySessHandler();session_set_save_handler($handler, true);
session_start();
Page 69
Redis/Memcached/SQLなどに保存する
Page 74
デフォルトでは、CookieにSecure,httpOnly属性がついてない
Page 76
http://php.net/manual/ja/function.session-set-cookie-params.php
Page 79
bootstrap.php
<?php
session_name('hoge_session_id');
$handler = new MySessHandler();session_set_save_handler($handler, true);
session_start();
Page 81
セッション系の設定設定ファイル(*.ini)とPHP両方で設定できる
Page 82
環境によってphp.iniは手を入れにくいので、実行時にPHPスクリプトで設定関数を呼ぶようにする方がおすすめ
Page 83
関数で書いてやれば(同じコードである限り)事故が起きにくい
Page 86
ログイン処理を実装するためにはセキュリティ的に考慮すべき事柄がいろいろあるよ
