Сессии в PHP: от создания до продвинутого администрирования

Как задать собственный идентификатор сессии (SID) вместо случайного?

Иногда требуется предопределить идентификатор сессии, например, при интеграции с внешними системами. Функция session_id() позволяет установить свой SID до вызова session_start().

$custom_sid = 'my_custom_session_123';
session_id($custom_sid);
session_start();
$_SESSION['data'] = 'привязано к кастомному ID';
echo 'Текущий ID: ' . session_id();
  

Текущий ID: my_custom_session_123
  

Когда применяется:

• Миграция с другой системы, где ID сессий фиксирован.
• Тестирование и отладка.

Как разрешить передачу SID через URL для клиентов с отключёнными cookie?

Директива session.use_trans_sid (транзакционный SID) автоматически добавляет параметр PHPSESSID ко всем относительным ссылкам, если cookie не принимается. Включение этой опции может быть полезно для совместимости, но снижает безопасность.

ini_set('session.use_trans_sid', '1');
ini_set('session.use_cookies', '1'); // cookie остаются предпочтительными
ini_set('session.use_only_cookies', '0'); // разрешить оба способа
session_start();
$_SESSION['visited'] = true;
echo '<a href="page2.php">Перейти</a>';
  

В ссылке автоматически появится ?PHPSESSID=xxx. Однако ссылка должна быть относительной или без указания домена.

Когда оправдано:

• Пользователи с ограниченными возможностями (отключены cookie).
• Временное решение для старых браузеров.

Как усилить безопасность сессионных cookie?

Чтобы защитить SID от кражи, следует ограничить область действия cookie: атрибуты Secure (только HTTPS), HttpOnly (недоступность через JavaScript) и SameSite (защита от CSRF).

ini_set('session.cookie_secure', '1');   // только HTTPS
ini_set('session.cookie_httponly', '1'); // только HTTP
ini_set('session.cookie_samesite', 'Lax'); // или 'Strict'
session_start();
$_SESSION['token'] = bin2hex(random_bytes(16));
  

Как настроить время жизни сессии и сборку мусора?

Время жизни сессии регулируется session.gc_maxlifetime - время в секундах, после которого данные сессии считаются устаревшими. Сборщик мусора запускается с вероятностью session.gc_probability / session.gc_divisor.

// Сессия живёт 1 час
ini_set('session.gc_maxlifetime', 3600);
// Вероятность запуска GC - 1% (1/100)
ini_set('session.gc_probability', 1);
ini_set('session.gc_divisor', 100);
session_start();
  

Также можно задать время жизни cookie сессии отдельно через session.cookie_lifetime. Если cookie_lifetime = 0, cookie живёт до закрытия браузера.

Как предотвратить фиксацию сессии (session fixation)?

Злоумышленник может заставить пользователя использовать известный SID. Для защиты применяется регенерация идентификатора после успешной аутентификации функцией session_regenerate_id().

session_start();
if ($login_success) {
    // После входа меняем SID
    session_regenerate_id(true); // true - удалить старую сессию
    $_SESSION['user'] = $user_data;
}
  

Также стоит удалять старую сессию и копировать данные в новую.

Как хранить сессии в базе данных вместо файлов?

Файловое хранение имеет ограничения по масштабированию и блокировкам. Альтернатива - использование пользовательского хранилища через функцию session_set_save_handler() или специального класса, реализующего SessionHandlerInterface.

class DbSessionHandler implements SessionHandlerInterface {
    private $pdo;
    public function __construct($pdo) {
        $this->pdo = $pdo;
    }
    public function open($savePath, $sessionName): bool {
        return true;
    }
    public function close(): bool {
        return true;
    }
    public function read($sessionId): string {
        $stmt = $this->pdo->prepare('SELECT data FROM sessions WHERE id = ?');
        $stmt->execute([$sessionId]);
        $row = $stmt->fetchColumn();
        return $row ? $row : '';
    }
    public function write($sessionId, $data): bool {
        $stmt = $this->pdo->prepare('REPLACE INTO sessions (id, data, last_access) VALUES (?, ?, NOW())');
        return $stmt->execute([$sessionId, $data]);
    }
    public function destroy($sessionId): bool {
        $stmt = $this->pdo->prepare('DELETE FROM sessions WHERE id = ?');
        return $stmt->execute([$sessionId]);
    }
    public function gc($maxlifetime): bool {
        $stmt = $this->pdo->prepare('DELETE FROM sessions WHERE last_access < NOW() - INTERVAL ? SECOND');
        return $stmt->execute([$maxlifetime]);
    }
}
$handler = new DbSessionHandler($pdo);
session_set_save_handler($handler, true);
// register_shutdown_function('session_write_close'); // при необходимости
session_start();