session的中文譯名叫做“會話”，其本來的含義是指有始有終的一系列動作/消息，比如打電話時從拿起電話撥號到掛斷電話這中間的一系列過程可以稱之為一個session。目前社會上對session的理解非常混亂：有時候我們可以看到這樣的話“在一個瀏覽器會話期間，...”，這里的會話是指從一個瀏覽器窗口打開到關閉這個期間； 也可以看到“用戶（客戶端）在一次會話期間”這樣一句話，它可能指用戶的一系列動作（一般情況下是同某個具體目的相關的一系列動作，比如從登錄到選購商品到結賬登出這樣一個網上購物的過程；然而有時候也可能僅僅是指一次連接；其中的差別只能靠上下文來推斷了。
然而當session一詞與網絡協(xié)議相關聯(lián)時，它又往往隱含了“面向連接”和/或“保持狀態(tài)”這樣兩個含義，“面向連接”指的是在通信雙方在通信之前要先建立一個通信的渠道，比如打電話，直到對方接了電話通信才能開始。“保持狀態(tài)”則是指通信的一方能夠把一系列的消息關聯(lián)起來，使得消息之間可以互相依賴，比如一個服務員能夠認出再次光臨的老顧客并且記得上次這個顧客還欠店里一塊錢。這一類的例子有“一個tcp session”或者“一個pop3 session”。
鑒于這種混亂已不可改變，要為session下個定義就很難有統(tǒng)一的標準。而在閱讀session相關資料時，我們也只有靠上下文來推斷理解了。不過我們可以這樣理解：例如我們打電話，從撥通的那一刻起到掛斷電話期間，因為電話一直保持著接通的狀態(tài)，所以把這種接通的狀態(tài)叫做session。它是訪客與整個網站交互過程中一直存在的公有變量，在客戶端不支持cookie的時候，為了保證數(shù)據(jù)正確、安全，就采用session變量。訪問網站的來客會被分配一個唯一的標識符，即所謂的會話 id。它要么存放在客戶端的 cookie，要么經由 url 傳遞。
session的發(fā)明填補了http協(xié)議的局限：http協(xié)議被認為是無狀態(tài)協(xié)議，無法得知用戶的瀏覽狀態(tài)，當它在服務端完成響應之后，服務器就失去了與該瀏覽器的聯(lián)系。這與http協(xié)議本來的目的是相符的，客戶端只需要簡單的向服務器請求下載某些文件，無論是客戶端還是服務器都沒有必要紀錄彼此過去的行為，每一次請求之間都是獨立的，好比一個顧客和一個自動售貨機或者一個普通的（非會員制）大賣場之間的關系一樣。
因此通過session(cookie是另外一種解決辦法)記錄用戶的有關信息，以供用戶再次以此身份對web服務器提起請求時作確認。會話的發(fā)明使得一個用戶在多個頁面間切換時能夠保存他的信息。網站編程人員都有這樣的體會，每一頁中的變量是不能在下一頁中使用的(雖然form，url也可以實現(xiàn)，但這都是非常不理想的辦法)，而session中注冊的變量就可以作為全局變量使用了。
那么session到底有什么用處呢？網上購物時大家都用過購物車，你可以隨時把你選購的商品加入到購物車中，最后再去收銀臺結帳。在整個過程中購物車一直扮演著臨時存貯被選商品的角色，用它追蹤用戶在網站上的活動情況，這就是session的作用，它可以用于用戶身份認證，程序狀態(tài)記錄，頁面之間參數(shù)傳遞等。
session的實現(xiàn)中采用cookie技術，session會在客戶端保存一個包含session_id(session編號)的cookie；在服務器端保存其他session變量，比如session_name等等。當用戶請求服務器時也把session_id一起發(fā)送到服務器，通過session_id提取所保存在服務器端的變量，就能識別用戶是誰了。同時也不難理解為什么session有時會失效了。
當客戶端禁用cookie時(點擊ie中的“工具”—“internet選項”，在彈出的對話框里點擊“安全”—“自定義級別”項，將“允許每個對話cookie”設為禁用)，session_id將無法傳遞，此時session失效。不過php5在linux/unix平臺可以自動檢查cookie狀態(tài)，如果客戶端設置了禁用，則系統(tǒng)自動把session_id附加到url上傳遞。windows主機則無此功能。
session常見函數(shù)及用法？
session_start() ：開始一個會話或者返回已經存在的會話。
說明：這個函數(shù)沒有參數(shù)，且返回值均為true。如果你使用基于cookie的session(cookie-based sessions),那么在使用session_start()之前瀏覽器不能有任何輸出，否則會發(fā)生以下錯誤：
warning: cannot send session cache limiter - headers already sent (output started at /usr/local/apache/htdocs/cga/member/1.php:2)…………
你可以在php.ini里啟動session.auto_start=1，這樣就無需每次使用session之前都要調用session_start()。但啟用該選項也有一些限制，如果確實啟用了 session.auto_start，則不能將對象放入會話中，因為類定義必須在啟動會話之前加載以在會話中重建對象。
請求結束后所有注冊的變量都會被序列化。已注冊但未定義的變量被標記為未定義。在之后的訪問中這些變量也未被會話模塊定義，除非用戶以后定義它們。
警告: 有些類型的數(shù)據(jù)不能被序列化因此也就不能保存在會話中。包括 resource 變量或者有循環(huán)引用的對象（即某對象將一個指向自己的引用傳遞給另一個對象）。
注冊session變量：
php5使用$_session[‘xxx’]=xxx注冊session全局變量。和get，post，cookie的使用方法相似。
注意：session_register()，session_unregister ，session_is_registered在php5下不再使用，除非在php.ini里把register_globle設為on，不過出于安全考慮，強烈建議關閉register_globle。http_session_vars也不提倡使用了，官方建議用$_session代替之。例如：
page1.php
＜?php
session_start(); //使用session前必須調用該函數(shù)。
$_session[‘name’]=”我是黑旋風李逵!”; //注冊一個session變量
$_session[‘passwd’]=”mynameislikui”;
$_session[‘time’]=time();
echo '＜br /＞＜a href="page2.php"＞通過cookie傳遞session＜/a＞'; //如果客戶端支持cookie，可通過該鏈接傳遞session到下一頁。
echo '＜br /＞＜a href="page2.php?' . sid . '"＞通過url傳遞session＜/a＞';//客戶端不支持cookie時，使用該辦法傳遞session.
?＞
page2.php
＜?php
session_start();
echo $_session['name']; //
echo $_session['passwd']; //
echo date('y m d h:i:s', $_session['time']);
echo '＜br /＞＜a href="page1.php"＞返回山一頁＜/a＞';
?＞
有兩種方法傳遞一個會話 id：
cookie
url 參數(shù)
會話模塊支持這兩種方法。cookie 更優(yōu)化，但由于不總是可用，也提供替代的方法。第二種方法直接將會話 id 嵌入到 url 中間去。
php 可以透明地轉換連接。除非是使用 php 4.2 或更新版本，需要手工在編譯 php 時激活。在 unix 下，用 --enable-trans-sid 配置選項。如果此配置選項和運行時選項 session.use_trans_sid 都被激活(修改php.ini)，相對 uri 將被自動修改為包含會話 id。
● session_id
session_id() 用于設定或取得當前session_id。php5中既可以使用session_id()，也可以通過附加在url上的sid取得當前會話的session_id和session_name。
如果session_id()有具體指定值的話，將取代當前的session_id值。使用該函數(shù)前必須啟動會話：session_start();
當我們使用session cookies時，如果指定了一個session_id()值，每次啟動session_start()都會往客戶端發(fā)送一個cookie值。不論當前session_id是否與指定值相等。
session_id()如果沒有指定值，則返回當前session_id();當前會話沒有啟動的話，則返回空字符串。
● 檢查session是否存在？
在以往的php版本中通常使用session_is_register()檢查session是否存在，如果您使用$_session[‘xxx’]=xxx來注冊會話變量，則session_is_register()函數(shù)不再起作用。你可以使用isset($_session[‘xxx’])來替代。
● 更改session_id session_regenerate_id() 更改成功則返回true，失敗則返回false。
使用該函數(shù)可以為當前session更改session_id，但不改變當前session的其他信息。例如：
＜?php
session_start();
$old_sessionid = session_id();
session_regenerate_id();
$new_sessionid = session_id();
echo "原始 sessionid: $old_sessionid＜br /＞";
echo "新的 sessionid: $new_sessionid＜br /＞";
echo"＜pre＞";
print_r($_session);
echo"＜/pre＞";
?＞
● session_name() 返回當前session的name或改變當前session的name。如果要改變當前session的name，必須在session_start()之前調用該函數(shù)。注意：session_name不能只由數(shù)字組成，它至少包含一個字母。否則會在每時每刻都生成一個新的session id.
session改名示例：
＜?php
$previous_name = session_name("websiteid");
echo "新的session名為： $previous_name＜br /＞";
?＞
● 如何刪除session？
1、unset ($_session['xxx']) 刪除單個session，unset($_session['xxx']) 用來unregister一個已注冊的session變量。其作用和session_unregister()相同。session_unregister()在php5中不再使用，可將之打入冷宮。
unset($_session) 此函數(shù)千萬不可使用，它會將全局變量$_session銷毀，而且還沒有可行的辦法將其恢復。用戶也不再可以注冊$_session變量。
2、$_session=array() 刪除多個session
3、session_destroy()結束當前的會話，并清空會話中的所有資源。。該函數(shù)不會unset(釋放)和當前session相關的全局變量(globalvariables),也不會刪除客戶端的session cookie.php默認的session是基于cookie的，如果要刪除cookie的話，必須借助setcookie()函數(shù)。
返回值：布爾值。
功能說明：這個函數(shù)結束當前的session，此函數(shù)沒有參數(shù)，且返回值均為true
session_unset() 如果使用了$_session，則該函數(shù)不再起作用。由于php5必定要使用$_session，所以此函數(shù)可以打入冷宮了。
下面是php官方關于刪除session的案例：
＜?php
// 初始化session.
session_start();
/*** 刪除所有的session變量..也可用unset($_session[xxx])逐個刪除。****/
$_session = array();
/***刪除sessin id.由于session默認是基于cookie的，所以使用setcookie刪除包含session id的cookie.***/
if (isset($_cookie[session_name()])) {
setcookie(session_name(), '', time()-42000, '/');
}
// 最后徹底銷毀session.
session_destroy();
?＞
由此我們可以得出刪除session的步驟：
①session_start()
②$_session=array()/unset($_session['xxx'])
③session_destroy()
● session安全:
會話模塊不能保證存放在會話中的信息只能被創(chuàng)建該會話的用戶看到。根據(jù)其存放的數(shù)據(jù)，還需要采取更多措施來主動保護會話的完整性。
評估會話中攜帶的數(shù)據(jù)并實施附加保護措施通常要付出代價，降低用戶的方便程度。例如，如果要保護用戶免于受簡單的社交策略侵害（注：指在 url 中顯示的會話 id 會被別人在電腦屏幕上看到，或被別的網站通過 http referer 得到等），則應該啟用 session.use_only_cookies。此情形下，客戶端必須無條件啟用 cookie，否則會話就不工作。
有幾種途徑會將現(xiàn)有的會話 id 泄露給第三方。泄露出的會話 id 使第三方能夠訪問所有與指定 id 相關聯(lián)的資源。第一，url 攜帶會話 id。如果連接到外部站點，包含有會話 id 的 url 可能會被存在外部站點的 referer 日志中。第二，較主動的攻擊者可能會偵聽網段的數(shù)據(jù)包。如果未加密，會話 id 會以明文方式在網絡中流過。對此的解決方式是在服務器上實施 ssl 并強制用戶使用。
默認情況下，所有與特定會話相關的數(shù)據(jù)都被存儲在由 ini 選項 session.save_path 指定的目錄下的一個文件中。對每個會話會建立一個文件（不論是否有數(shù)據(jù)與該會話相關）。這是由于每打開一個會話即建立一個文件，不論是否有數(shù)據(jù)寫入到該文件中。注意由于和文件系統(tǒng)協(xié)同工作的限制，此行為有個副作用，有可能造成用戶定制的會話處理器（例如用數(shù)據(jù)庫）丟失了未存儲數(shù)據(jù)的會話。
上面介紹函數(shù)下文將會用到，但還有一些有關session的函數(shù)也介紹一下：
session_encode
函數(shù)功能：sesssion信息編碼
函數(shù)原型：string session_encode(void);
返回值：字符串
功能說明：返回的字符串中包含全局變量中各變量的名稱與值，形式如：a|s:12:"it is a test/";c|s:4:"lala"; a是變量名 s:12代表變量a的值"it is a test的長度是12 變量間用分號”;”分隔。
session_decode
函數(shù)功能：sesssion信息解碼
函數(shù)原型：boolean session_decode (string data)
返回值：布爾值
功能說明：這個函數(shù)可將session信息解碼，成功則返回邏輯值true
php5不再使用session_id，而是把它變成一個常量sid，并保存在cookie中。如果客戶端禁用了cookie，php會自動通過url自動傳動傳遞sid，其條件是設置php.ini中的session.use_trans_sid = 1。此時即使客戶端即使禁用了cookie也沒關系了。
用 strip_tags() 來輸出 sid 以避免 xss 相關的攻擊。 session跨頁傳遞問題：
session跨頁傳遞需要考慮三種情況：
①客戶端禁用了cookie。
②瀏覽器出現(xiàn)問題，暫時無法存取cookie
③php.ini中的session.use_trans_sid = 0或者編譯時沒有打開--enable-trans-sid選項
為什么會這樣呢？下面解釋一下原因：
session文件分為兩部分：session變量保存在服務器端（默認以文件方式存儲session）；而session id則以cookie形式保存在客戶端。(注意：session默認是基于cookie的)。
當用戶的瀏覽器向服務器提出請求時，同時發(fā)送包含session id的cookie(默認情況下)。服務器根據(jù)客戶端提供的session id來得到用戶的文件，即保存在服務器端的session變量值。事實上，session id可以使用客戶端的cookie或者http1.1協(xié)議的query_string（就是訪問的url的“?”后面的部分）來傳送給服務器，然后服務器讀取session的目錄……。也就是說，session id是取得存儲在服務上的session變量的身份證。當代碼session_start();運行的時候，就在服務器上產生了一個session文件，隨之也產生了與之唯一對應的一個session id，定義session變量以一定形式存儲在剛才產生的session文件中。通過session id，可以取出定義的變量。跨頁后，為了使用session，你必須又執(zhí)行session_start();將又會產生一個session文件，與之對應產生相應的session id，用這個session id是取不出前面提到的第一個session文件中的變量的，因為這個session id不是打開它的“鑰匙”。如果在session_start();之前加代碼session_id($session id);將不產生新的session文件，直接讀取與這個id對應的session文件。
php中的session在默認情況下是使用客戶端的cookie來保存session id的,所以當客戶端的cookie出現(xiàn)問題的時候就會影響session了。必須注意的是：session不一定必須依賴cookie，這也是session相比cookie的高明之處。當客戶端的cookie被禁用或出現(xiàn)問題時，php會自動把session id附著在url中,這樣再通過session id就能跨頁使用session變量了。但這種附著也是有一定條件的，其一：“php.ini中的session.use_trans_sid = 1或者編譯時打開打開了--enable-trans-sid選項”；其二：運行php的服務器必須是unix/linux系統(tǒng)，windows不具備此項功能。
明白了以上的道理，我們就可以得出解決session跨頁傳遞問題的三條途徑：
1、設置php.ini中的session.use_trans_sid = 1或者編譯時打開打開了--enable-trans-sid選項，讓php自動跨頁傳遞session id。
2、手動通過url傳值、隱藏表單傳遞session id。
3、用文件、數(shù)據(jù)庫等形式保存session_id,在跨頁過程中手動調用。
下面舉例說明：
第一種情況：
page1.php
＜?php
session_start();
$_session['var1']="中華人民共和國";
$url="＜a href="."/"s2.php/"＞下一頁＜/a＞";
echo $url;
?＞
page2.php
＜?php
session_start();
echo "傳遞的session變量var1的值為：".$_session['var1'];
?＞
運行以上代碼，在客戶端cookie正常的情況下，應該可以在得到結果“中華人民共和國”。
現(xiàn)在你手動關閉客戶端的cookie，再運行，可能得不到結果了吧。如果得不到結果，再“設置php.ini中的session.use_trans_sid = 1或者編譯時打開打開了--enable-trans-sid選項”，又得到結果“中華人民共和國”
第二種途徑：
s1.php
＜?php
session_start();
$_session['var1']="中華人民共和國";
$sn = session_id();
$url="＜a href="."/"s2.php?s=".$sn."/"＞下一頁＜/a＞"; //php5定義了一個常量sid來表示session_id()，$url還可以寫成$url='＜a href="page2.php?' . sid . '"＞下一頁＜/a＞';
echo $url;
?＞
s2.php
＜?php
session_id($_get['s']);
session_start();
echo "傳遞的session變量var1的值為：".$_session['var1'];
?＞
第三種途徑：
login.html
＜!doctype html public "-//w3c//dtd html 4.01 transitional//en"＞
＜html＞
＜head＞
＜title＞login＜/title＞
＜meta http-equiv="content-type" content="text/html; charset=??????"＞
＜/head＞
＜body＞
請登錄：
＜form name="login" method="post" action="mylogin1.php"＞
用戶名:＜input type="text" name="name"＞＜br＞
口 令:＜input type="password" name="pass"＞＜br＞
＜input type="submit" value="登錄"＞
＜/form＞
＜/body＞
＜/html＞
mylogin1.php
＜?php
$name=$_post['name'];
$pass=$_post['pass'];
if(!$name || !$pass) {
echo "用戶名或密碼為空，請＜a href=/"login.html/"＞重新登錄＜/a＞";
die();
}
if (!($name=="laogong" && $pass=="123")) {
echo "用戶名或密碼不正確，請＜a href=/"login.html/"＞重新登錄＜/a＞";
die();
}
//注冊用戶
ob_start();
session_start();
$_session['user']= $name;
$psid=session_id();
$fp=fopen("e://tmp//phpsid.txt","w+");
fwrite($fp,$psid);
fclose($fp);
//身份驗證成功，進行相關操作
echo "已登錄＜br＞";
echo "＜a href=/"mylogin2.php/"＞下一頁＜/a＞";
?＞
mylogin2.php
＜?php
$fp=fopen("e://tmp//phpsid.txt","r");
$sid=fread($fp,1024);
fclose($fp);
session_id($sid);
session_start();
if(isset($_session['user']) && $_session['user']="laogong" ) {
echo "已登錄!";
}
else {
//成功登錄進行相關操作
echo "未登錄，無權訪問";
echo "請＜a href=/"login.html/"＞登錄＜/a＞后瀏覽";
die();
}
?＞
