Как узнать и использовать session id в PHP

Расширенные примеры использования идентификатора сессии

Данные примеры демонстрируют нетривиальные сценарии работы с ID сессии: интеграция с базой данных, кастомизация идентификаторов, защита и многопоточность.

Пример 1. Привязка ID сессии к пользователю в базе данных

После успешной аутентификации сохраним текущий ID сессии в таблицу пользователей для отслеживания активных сеансов.

<?php
session_start();
// Предполагаем, что пользователь аутентифицирован
$userId = 42;
$sessionId = session_id();

// Сохранение в БД (пример с PDO)
$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$stmt = $pdo->prepare('UPDATE users SET last_session_id = :sid WHERE id = :uid');
$stmt->execute(['sid' => $sessionId, 'uid' => $userId]);

echo 'ID сессии ' . $sessionId . ' привязан к пользователю ' . $userId;
?>

ID сессии abc123 привязан к пользователю 42

Примечание: При каждой смене ID через session_regenerate_id() следует обновлять запись в БД.

Пример 2. Создание кастомного ID с префиксом и временной меткой

Используя session_create_id() и конкатенацию, получим идентификатор, содержащий дату создания для облегчения поиска старых сессий.

<?php
$prefix = 'sess_';
$timestamp = date('YmdHi');
$randPart = session_create_id(); // короткая случайная часть
$customId = $prefix . $timestamp . '_' . $randPart;

// Установка ID перед стартом
session_id($customId);
session_start();
echo 'Кастомный ID: ' . session_id();
?>

Кастомный ID: sess_202503241530_abc123def456

Внимание: Длина ID может превысить ограничения, заданные session.sid_length (обычно 32-64 символа). Проверяйте итоговую длину.

Пример 3. Регенерация ID каждые N запросов для повышения безопасности

В многопользовательской системе полезно менять ID сессии через определённое количество запросов, чтобы снизить риск перехвата.

<?php
session_start();

// Счётчик запросов в сессии
if (!isset($_SESSION['request_count'])) {
    $_SESSION['request_count'] = 0;
}
$_SESSION['request_count']++;

// Обновляем ID каждые 10 запросов
if ($_SESSION['request_count'] % 10 === 0) {
    session_regenerate_id(true); // удаляем старые данные
}

echo 'Номер запроса: ' . $_SESSION['request_count'] . ', ID сессии: ' . session_id();
?>

Номер запроса: 10, ID сессии: newGeneratedId

Опция true в session_regenerate_id(true) удаляет старую сессию, предотвращая её повторное использование.

Пример 4. Работа с несколькими сессиями одновременно (разные имена)

В одном приложении можно параллельно управлять двумя разными сессиями, задав разные имена и ID.

<?php
// Первая сессия (основная)
session_name('MAIN_SESSID');
session_start();
$mainId = session_id();

// Вторая сессия (вспомогательная) - временно меняем настройки
session_write_close(); // закрываем первую
session_name('AUX_SESSID');
session_id('aux' . bin2hex(random_bytes(8)));
session_start();
$auxId = session_id();

echo "Основная сессия: $mainId, Вспомогательная: $auxId";

// Восстанавливаем основную
session_write_close();
session_name('MAIN_SESSID');
session_id($mainId);
session_start();
?>

Основная сессия: abc123, Вспомогательная: aux4e6f7a8b9c0d

Важно: После переключения между сессиями необходимо вызывать session_write_close(), чтобы сохранить данные.

Пример 5. Проверка существования ID в куке до запуска сессии

Безопасный способ восстановить сессию по ID из куки, предварительно убедившись, что ID валидный и не является вредоносным.

<?php
$sessionName = session_name();
$candidateId = $_COOKIE[$sessionName] ?? '';

// Проверка формата ID (только буквы, цифры, тире, подчёркивание)
if (preg_match('/^[a-zA-Z0-9\-_]+$/', $candidateId)) {
    session_id($candidateId);
    session_start();
    echo 'Сессия восстановлена, ID: ' . session_id();
} else {
    // Если ID некорректен, запускаем новую сессию
    session_start();
    echo 'Новая сессия, ID: ' . session_id();
}
?>

Сессия восстановлена, ID: validSessionId

Фильтрация с регулярным выражением предотвращает инъекции и подмену ID.