php會話管理通過Cookie和Session實現，二者協同使用更安全。session存儲敏感信息于服務器，通過唯一id關聯，而cookie保存該id于客戶端。步驟：1. 使用session_start()啟動會話；2. 通過$_session設置或讀取變量；3. 用session_destroy()銷毀會話；4. setcookie()設置含session id的cookie；5. $_cookie讀取cookie；6. 刪除cookie則設過期時間為過去。安全性上應啟用https、定期更換session id、驗證用戶ip與user-agent、設置httponly與secure屬性，并配置samesite限制跨站訪問，以防止session劫持。
PHP會話管理，簡單來說，就是服務器記住你，或者說，記住你的狀態。Cookie和Session是實現這個目標的兩大利器，但它們的工作方式和適用場景卻大相徑庭。Cookie像是一個貼在你身上的標簽，瀏覽器會保存它，每次訪問網站都會帶著這個標簽；Session則更像是一個服務器端的備忘錄，只保存你的ID，然后通過這個ID來查找你的信息。
解決方案
Cookie和Session結合使用，才能發揮最大威力。一般來說，我們會用Session來保存用戶的敏感信息，比如用戶名、用戶ID等，然后將Session ID保存在Cookie中。這樣，瀏覽器只需要記住一個簡單的ID，所有重要的數據都保存在服務器端，安全性更高。
立即學習“PHP免費學習筆記（深入）”；
使用Session的步驟：
- session_start()：啟動會話。這會在服務器上創建一個新的會話，或者恢復一個已存在的會話（如果Cookie中包含Session ID）。
- $_SESSION[‘username’] = ‘john_doe’;：設置會話變量。你可以將任何需要保存的數據存儲在$_SESSION數組中。
- echo $_SESSION[‘username’];：讀取會話變量。
- session_destroy()：銷毀會話。這會清除服務器上的會話數據。
使用Cookie的步驟：
- setcookie(‘session_id’, session_id(), time() + 3600);：設置Cookie。這個例子中，我們將Session ID保存在名為session_id的Cookie中，并設置過期時間為1小時。
- $_COOKIE[‘session_id’]：讀取Cookie。
- setcookie(‘session_id’, ”, time() – 3600);：刪除Cookie。將過期時間設置為過去的時間即可。
安全性方面，務必對Session ID進行保護，防止Session劫持。可以使用https協議加密Cookie傳輸，定期更換Session ID，并驗證用戶的IP地址和User-Agent。
如何選擇Cookie和Session？
選擇Cookie還是Session，取決于你想要存儲的數據類型和安全性要求。如果只需要保存一些不敏感的信息，比如用戶的偏好設置，可以使用Cookie。但如果需要保存用戶的登錄信息或者其他敏感數據，Session是更好的選擇。
Cookie存儲在客戶端，容易被篡改，容量也有限制。Session存儲在服務器端，安全性更高，容量也更大。但Session會占用服務器資源，過多的Session可能會影響服務器性能。
Session過期時間如何設置？
Session的過期時間可以通過兩種方式設置：
- 配置php.ini文件中的session.gc_maxlifetime參數。這個參數設置了Session數據的最大生存時間，單位是秒。
- 在代碼中使用session_set_cookie_params()函數。這個函數可以設置Session Cookie的參數，包括過期時間。
例如：
session_set_cookie_params(3600); // 設置Session Cookie的過期時間為1小時 session_start();
需要注意的是，即使設置了Session的過期時間，Session數據也可能因為服務器的垃圾回收機制而被提前刪除。因此，最好在代碼中定期檢查Session是否有效，如果無效則重新登錄。
如何防止Session劫持？
Session劫持是指攻擊者獲取了用戶的Session ID，從而冒充用戶登錄網站。為了防止Session劫持，可以采取以下措施：
- 使用HTTPS協議加密Cookie傳輸，防止Session ID被竊取。
- 定期更換Session ID。可以使用session_regenerate_id()函數生成一個新的Session ID。
- 驗證用戶的IP地址和User-Agent。如果IP地址或User-Agent發生變化，則認為Session可能被劫持，需要重新登錄。
- 使用HttpOnly Cookie。HttpOnly Cookie只能通過HTTP協議訪問，不能通過JavaScript訪問，可以防止xss攻擊竊取Session ID。
- 設置Cookie的Secure屬性。Secure Cookie只能通過HTTPS協議傳輸，可以防止中間人攻擊竊取Session ID。
session_set_cookie_params([ 'secure' => true, 'httponly' => true, 'samesite' => 'Strict' // or 'Lax' depending on your needs ]); session_start();
samesite屬性可以設置為Strict或Lax，進一步限制Cookie的跨站訪問，增強安全性。
