Настройка сессионного механизма PHP через параметры php.ini

Как изменить параметры сессий без доступа к php.ini?

Если нет возможности редактировать глобальный php.ini, можно использовать функцию ini_set() в начале скрипта. Однако настройки будут действовать только для текущего запроса и не влияют на уже запущенные сессии. Параметры, которые требуются до session_start(), необходимо задавать до вызова этой функции.

<?php
// Устанавливаем параметры сессии до session_start()
ini_set('session.name', 'MYAPPID');
ini_set('session.cookie_lifetime', 3600);
ini_set('session.cookie_httponly', 1);
ini_set('session.cookie_secure', 1);
ini_set('session.use_strict_mode', 1);
ini_set('session.sid_length', 64);
ini_set('session.sid_bits_per_character', 6);

session_start();
?>

Php ini timezone (настройка часового пояса в php (date.timezone))

Важно: некоторые директивы (например, session.save_handler) нельзя изменить после начала сессии, а session.save_path можно, но только до session_start().

Как организовать хранение сессий в Redis для повышения производительности?

Redis обеспечивает быстрое чтение/запись и удобен для масштабирования. Для этого нужен модуль redis (phpredis) или predis. Установка: pecl install redis или через менеджер пакетов. Далее в php.ini:

session.save_handler = redis
session.save_path = "tcp://127.0.0.1:6379?auth=password&database=0&prefix=PHPSESS:"

Xampp php ini (настройка php.ini в xampp)

Параметр auth - если требуется пароль, database - номер БД, prefix - префикс ключей.

Пример настройки через ini_set():

<?php
ini_set('session.save_handler', 'redis');
ini_set('session.save_path', 'tcp://127.0.0.1:6379');
session_start();
?>

Php ini sessions (настройка сессий в php (session.*))

Как установить разное время жизни для cookie сессии и данных на сервере?

session.cookie_lifetime управляет временем жизни cookie в браузере. session.gc_maxlifetime - временем, после которого данные сессии считаются устаревшими и могут быть удалены сборщиком мусора. Для долгих сессий (например, "запомнить меня") можно установить cookie_lifetime в большое значение, а gc_maxlifetime оставить по умолчанию или увеличить. Однако надо помнить, что GC запускается с вероятностью, поэтому данные могут храниться дольше.

; php.ini
session.cookie_lifetime = 86400 ; 24 часа
session.gc_maxlifetime = 86400  ; данные тоже хранятся 24 часа

Php ini extension (настройка расширений php (extension_dir, extension))

Если нужно, чтобы cookie жила дольше, а данные удалялись раньше, можно использовать session_set_cookie_params():

<?php
// Устанавливаем cookie на 7 дней
session_set_cookie_params(7*24*3600);
session_start();
?>

ограничение памяти php (ограничение памяти php)

Как защитить сессионные cookie от XSS и CSRF?

Установка флагов Secure, HttpOnly, SameSite. В php.ini:

session.cookie_secure = 1
session.cookie_httponly = 1
session.cookie_samesite = "Strict"

изменить настройки php (изменение настроек php)

В коде через session_set_cookie_params():

<?php
session_set_cookie_params([
    'lifetime' => 0,
    'path' => '/',
    'domain' => 'example.com',
    'secure' => true,
    'httponly' => true,
    'samesite' => 'Strict'
]);
session_start();
?>

Index php page info (страница phpinfo())

Флаг SameSite=Strict полностью блокирует отправку cookie с межсайтовых запросов, но может сломать некоторые сценарии (например, переход по ссылке с внешнего сайта). Lax - компромисс.

Как отключить автоматический сборщик мусора и запускать его по расписанию?

Для больших сайтов автоматический GC (вероятностный) может вызывать нежелательные задержки. Можно установить session.gc_probability = 0 и запускать очистку через cron с помощью функции session_gc() (PHP 7.1+). В php.ini:

session.gc_probability = 0
session.gc_divisor = 1

Php ini memory (настройка memory_limit в php)

Скрипт очистки (запускается cron, например, раз в час):

<?php
// gc.php
session_start();
session_gc(); // удаляет сессии, срок которых истек
session_write_close();
?>

Php post size (размер post данных в php)

Как сделать идентификаторы сессий более устойчивыми к угадыванию?

Увеличить session.sid_length (максимум 256) и session.sid_bits_per_character (4,5,6). Бит на символ: 4 = hex (0-9a-f), 5 = base32 (0-9a-v), 6 = base64 (0-9a-zA-Z,-). Чем выше, тем больше энтропия, но и длина строки меньше при том же количестве бит. Рекомендуется:

session.sid_length = 48
session.sid_bits_per_character = 6

битрикс restore php (восстановление php в битрикс)

Проверить текущий ID:

<?php
session_start();
echo session_id();
?>