对比起 Cookie，Session 是存储在服务器端的会话，相对安全，并且不像 Cookie 那样有存储长度限制，本文简单介绍 Session 的使用。$admin 为 true 的时候表示登陆，为 false 的时候表示未登录，在第一次通过验证后将 $admin 等于 true 存储在 Cookie，下次就不用验证了，这样对么？错了，假如有人伪造一个值为 true 的 $admin 变量那不是就立即取的了管理权限么？非常的不安全。$admin 变量来判断是否登陆，首次验证通过后设置 $admin 值为 true，以后判断该值是否为 true，假如不是，转入登陆界面，这样就可以减少很多数据库操作了。而且可以减少每次为了验证 Cookie 而传递密码的不安全性了（Session 验证只需要传递一次，假如你没有使用 SSL 安全协议的话）。即使密码进行了 md5 加密，也是很容易被截获的。$admin 变量：
1 2 3 4 5 session_start(); $_SESSION["admin" ] = null ;
如果你使用了 Seesion，或者该 PHP 文件要调用 Session 变量，那么就必须在调用 Session 之前启动它，使用 session_start() 函数。其它都不需要你设置了，PHP 自动完成 Session 文件的创建。admin|N; 一般该内容是这样的结构： 变量名|类型:长度:值; 并用分号隔开每个变量。有些是可以省略的，比如长度和类型。login.php
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 $posts = $_POST; foreach ($posts as $key => $value) { $posts[$key] = trim($value); } $password = md5($posts["password" ]); $username = $posts["username" ]; $query = "SELECT `username` FROM `user` WHERE `password` = '$password' AND `username` = '$username'" ; $userInfo = $DB->getRow($query); if (!empty ($userInfo)) { session_start(); $_SESSION["admin" ] = true ; } else { die ("用户名密码错误" ); }
我们在需要用户验证的页面启动 Session，判断是否登陆：
1 2 3 4 5 6 7 8 9 10 11 12 $admin = false ; session_start(); if (isset ($_SESSION["admin" ]) && $_SESSION["admin" ] === true ) { echo "您已经成功登陆" ; } else { $_SESSION["admin" ] = false ; die ("您无权访问" ); }
是不是很简单呢？将 $_SESSION 看成是存储在服务器端的数组即可，我们注册的每一个变量都是数组的键，跟使用数组没有什么分别。
1 2 3 4 5 session_start(); unset ($_SESSION['admin' ]); session_destroy();
Session 能否像 Cookie 那样设置生存周期呢？有了 Session 是否就完全抛弃 Cookie 呢？我想说，结合 Cookie 来使用 Session 才是最方便的。
1 2 3 4 session_start(); $lifeTime = 24 * 3600 ; setcookie(session_name(), session_id(), time() + $lifeTime, "/" );
其实 Session 还提供了一个函数 session_set_cookie_params(); 来设置 Session 的生存期的，该函数必须在 session_start() 函数调用之前调用：
1 2 3 4 5 $lifeTime = 24 * 3600 ; session_set_cookie_params($lifeTime); session_start(); $_SESSION["admin" ] = true ;
如果客户端使用 IE 6.0 ， session_set_cookie_params(); 函数设置 Cookie 会有些问题，所以我们还是手动调用 setcookie 函数来创建 cookie。http://www.openphp.cn/index.php?PHPSESSID=bba5b2a240a77e5b44cfa01d49cf9669，其中 URL 中的参数 PHPSESSID 就是 Session ID了，我们可以使用 $_GET 来获取该值，从而实现 Session ID 页面间传递。
1 2 3 4 5 6 7 8 9 10 11 $lifeTime = 24 * 3600 ; $sessionName = session_name(); $sessionID = $_GET[$sessionName]; session_id($sessionID); session_set_cookie_params($lifeTime); session_start(); $_SESSION['admin' ] = true ;
对于虚拟主机来说，如果所有用户的 Session 都保存在系统临时文件夹里，将给维护造成困难，而且降低了安全性，我们可以手动设置 Session 文件的保存路径，session_save_path() 就提供了这样一个功能。我们可以将 Session 存放目录指向一个不能通过 Web 方式访问的文件夹，当然，该文件夹必须具备可读写属性。
1 2 3 4 5 6 7 8 $savePath = './session_save_dir/' ; $lifeTime = 24 * 3600 ; session_save_path($savePath); session_set_cookie_params($lifeTime); session_start(); $_SESSION['admin' ] = true ;
同 session_set_cookie_params(); 函数一样，session_save_path() 函数也必须在 session_start() 函数调用之前调用。person.php
1 2 3 4 5 6 7 8 9 class person var $age; function output () echo $this ->age; } function setAge ($age) $this ->age = $age; } }
setage.php
1 2 3 4 5 6 session_start(); require_once 'person.php' ; $person = new person(); $person->setAge(21 ); $_SESSION['person' ] = $person; echo '<a href=' output.php'>check here to output age</a>' ;
output.php
1 2 3 4 5 6 7 8 9 ini_set('unserialize_callback_func' , 'mycallback' ); function mycallback ($classname) include_once $classname . '.php' ; session_start(); $person = $_SESSION['person' ]; $person->output(); }
当我们执行 setage.php 文件的时候，调用了 setage() 方法，设置了年龄为 21，并将该状态序列化后保存在 Session 中（PHP 将自动完成这一转换），当转到 output.php 后，要输出这个值，就必须反序列化刚才保存的对象，又因为在解序列化的时候需要实例化一个未定义类，所以我们定义了以后回调函数，自动包含 person.php 这个类文件，因此对象被重构，并取得当前 age 的值为 21，然后调用 output() 方法输出该值。