Сохранение сессий в файлах: детальное руководство по PHP и безопасности

Как защитить данные сессии на диске с помощью шифрования?

Если злоумышленник получает доступ к файлам сессий, содержимое становится открытым. Пользовательский обработчик на основе SessionHandlerInterface позволяет шифровать данные перед записью. Пример базового класса:

class EncryptedFileSessionHandler implements SessionHandlerInterface {
    private $savePath;
    private $key;
    private $method = 'aes-256-gcm';

    public function open($savePath, $sessionName) {
        $this->savePath = $savePath;
        if (!is_dir($this->savePath)) {
            mkdir($this->savePath, 0700, true);
        }
        return true;
    }

    public function close() {
        return true;
    }

    public function read($id) {
        $file = $this->savePath . '/sess_' . $id;
        if (!file_exists($file)) return '';
        $encrypted = file_get_contents($file);
        $iv = substr($encrypted, 0, 12);
        $ciphertext = substr($encrypted, 12);
        $decrypted = openssl_decrypt($ciphertext, $this->method, $this->key, OPENSSL_RAW_DATA, $iv, $tag);
        return $decrypted ?: '';
    }

    public function write($id, $data) {
        $file = $this->savePath . '/sess_' . $id;
        $iv = openssl_random_pseudo_bytes(12);
        $encrypted = openssl_encrypt($data, $this->method, $this->key, OPENSSL_RAW_DATA, $iv, $tag);
        file_put_contents($file, $iv . $encrypted . $tag, LOCK_EX);
        return true;
    }

    public function destroy($id) {
        $file = $this->savePath . '/sess_' . $id;
        if (file_exists($file)) unlink($file);
        return true;
    }

    public function gc($maxlifetime) {
        foreach (glob($this->savePath . '/sess_*') as $file) {
            if (filemtime($file) + $maxlifetime < time()) {
                unlink($file);
            }
        }
        return true;
    }
}

$handler = new EncryptedFileSessionHandler();
$handler->key = hex2bin('...'); // 256-битный ключ
session_set_save_handler($handler, true);
session_start();

Php авторизация файл (файл авторизации (login.php) на php)

Цель: предотвратить чтение сессионных данных при компрометации сервера. Случаи использования: приложения, работающие с чувствительной информацией (логины, финансовые данные).

Как уменьшить объём файлов сессий при помощи сжатия?

Если сессия хранит много пользовательских данных (корзина, настройки), размер файла может вырасти. Встроенное сжатие на уровне файловой системы (например, ZFS) не всегда доступно. Кастомный обработчик с функциями gzcompress() и gzuncompress() решает эту задачу.

class CompressedFileSessionHandler implements SessionHandlerInterface {
    private $savePath;

    public function open($savePath, $sessionName) {
        $this->savePath = $savePath;
        return is_dir($this->savePath) ? true : mkdir($this->savePath, 0700, true);
    }

    public function read($id) {
        $file = $this->savePath . '/sess_' . $id;
        if (!file_exists($file)) return '';
        $raw = file_get_contents($file);
        return $raw ? gzuncompress($raw) : '';
    }

    public function write($id, $data) {
        $file = $this->savePath . '/sess_' . $id;
        $compressed = gzcompress($data, 6); // уровень 6
        file_put_contents($file, $compressed, LOCK_EX);
        return true;
    }

    // close, destroy, gc - как в предыдущем примере
}

session_set_save_handler(new CompressedFileSessionHandler(), true);

Цель: сократить занимаемое место и уменьшить нагрузку на дисковую подсистему. Случаи использования: проекты с большим числом пользователей и объёмными данными сессий (например, интернет-магазины).

Как избежать переполнения каталога с файлами сессий?

При большом количестве сессий все файлы скапливаются в одной директории, что замедляет работу файловой системы. PHP поддерживает распределение по подкаталогам через модификатор в save_path (например, 2;/tmp/sessions). Альтернатива - пользовательский обработчик с хэшированием.

// Стандартный подход (php.ini или ini_set):
ini_set('session.save_path', '2;/var/lib/php/sessions');
// буква 'N' означает уровень вложенности; 2 - два уровня подкаталогов

// Кастомный обработчик с хэшем:
class HashedFileSessionHandler implements SessionHandlerInterface {
    private $savePath;

    private function path($id) {
        $hash = md5($id);
        $subdirs = substr($hash, 0, 2) . '/' . substr($hash, 2, 2);
        $fullPath = $this->savePath . '/' . $subdirs;
        if (!is_dir($fullPath)) mkdir($fullPath, 0700, true);
        return $fullPath . '/sess_' . $id;
    }

    public function read($id) {
        $file = $this->path($id);
        // ... стандартная реализация
    }
    // аналогично для write, destroy
}

Цель: предотвратить деградацию файловой системы при тысячах и миллионах сессий. Случаи использования: высоконагруженные проекты с длинными сессиями.