检查 sessionid 已知的 PHP 会话是否处于活动状态

Question

我们正在为客户锁定一些库存，锁定库存的表包含锁定它的人的会话 ID 以及有关客户端的其他信息。当会话到期时，我们希望解锁该库存，以便其他人可以购买它。因为我们在表中注册了 session_id()，知道了，有没有办法在 PHP 中检查 session 是否仍然处于活动状态？

如果我们使用数据库来保持会话，我们可能会检查该行是否直到那里以及最后一个活动是什么时候，在 memcached 中我们可能会找出会话的键并像这样检查它，因为文件会话我们可能也可以这样做，找出会话的文件名并检查文件是否存在。

无论您在哪里进行会话，有什么东西可以在任何地方都有效吗？

Answer 1

总之，您是在询问 PHP 中是否有通用方法来访问任何会话。尽管问题中的用例是合理的，但能够按照您的建议进行操作的影响会带来巨大的安全风险。

这就是为什么 PHP 中的内置会话功能使您难以完成所需工作的原因之一。

理论上您可以使用inbuilt PHP session functions 指定特定的会话ID 并查找它们。我刚刚做了一些简单的测试，并没有取得太大的成功。只有一个用于加载会话“session_start”的内置函数需要重复调​​用。该手册明确表示这不起作用：

从 PHP 4.3.3 开始，在会话之前启动之后调用 session_start() 将导致 E_NOTICE 级别的错误。此外，第二个会话开始将被忽略。

也许仍然可以通过分叉或其他巧妙的方法来解决这个问题。但是您的代码将以一种晦涩难懂的方式运行，这可能会与未来的 PHP 更新中断或可能干扰现有的实时会话。

最好的解决方案是编写一个特定于正在使用的会话处理程序的工具，该工具允许对会话进行只读访问。问题中的场景甚至不需要访问会话数据，只需要可用于计算到期时间的时间戳信息。

在“文件”会话处理的情况下。可以使用ini_get('session.save_path'); 发现会话文件存储的路径。检查脚本可能需要以与 Web 服务器相同的权限运行才能访问此位置。

脚本需要按计划频繁运行，以检查过期会话并从清单中移除锁定。

Answer 2

您实际上可以为此使用session_id 和session_start。

$ids = [
            '135b29ef958a23418f2a804474787305', // active session
            '135b29ef958a23418f2a804474787306', // inactive session
            '135b29ef958a23418f2a804474787305', // active session
        ];

foreach($ids as $id)
{
    session_id($id);
    session_start(); 

    $status = isset($_SESSION['logged_in']); 

    print( ($status ? 1 : 0) . PHP_EOL);
    session_abort();
}

检查是否存在始终设置的会话变量。确保这不是新创建的会话。

您必须检查这是否不会重置会话上的生命周期计数器。在我的系统上，它不会影响生命周期，直到会话发生变化

编辑：更新为session_abort 以循环和检查多个会话ID

Answer 3

您不能使用session_id、session_start 等。

这些函数处理请求页面的用户会话。您不能使用它们轻松处理所有用户会话的列表。您必须担心用户创建的会话 (www-data) 和 cli 脚本的相同权限，这将被执行以查找应该解锁的 - 会话的文件仅供所有者使用。

此外，会话的访问时间已更改，因此每次检查会话都会更改时间并影响会话的行为。

如何更轻松地执行锁定

通常会在固定的时间内锁定货物，例如 20 分钟。但是，如果您希望在会话处于活动状态时保持选中的库存，您可以对现有代码稍作修改。

1. 在session_id 字段旁边添加一个新字段last_activity（一个简单的迁移）
2. 每个请求都将其更新为 NOW（只需在模型上调用 $row->touch() - docs）。
3. 创建一个 crontab 任务以删除带有last_activity < NOW - delta 的每一行，其中delta 是会话超时。

使用这种方法，您可以避免处理每个会话驱动程序。

附：您可能希望确保会话在一定时间后终止，read this question。如果这项工作由垃圾收集器完成，会话生命周期可能会有所不同。

Answer 4

检查会话文件夹中是否存在会话：

echo ini_get('session.save_path');

例如在我的文件夹会话 id 文件中：

sess_l75lm4ktlhvlu566n8i6do8k71

设置会话参数（例如）：

ini_set('session.cookie_lifetime', 100)

在 session_destroy() 之后；文件已从会话文件夹中删除：

        if (file_exists($sessionfile)) {
        echo "exists";
    }else{
        echo "not exist"
    }

或者您可以在关闭浏览器和解锁产品时发送js请求（firefox测试）：

    <script type="text/javascript">
    // alert(document.cookie);

    window.onbeforeunload = function () {
    return "Do you really want to close?";
    };
    window.onunload = function () {
    return "Do you really want to close?";
    };

    $(window).on('beforeunload', function(){ alert ('Send post to unlock product')});
    $(window).unload( function () { alert("'Send post to unlock product'"); } );
</script>

Answer 5

您可以将代码放入注销用户的函数中，该函数应处理与该会话相关的库存解锁。

Answer 6

关闭浏览器窗口会触发事件beforeunload，该事件只能由 Javascript 处理。您可以为该事件添加一个 Javascript 事件处理程序，该事件处理程序会向该站点发出 AJAX 回调，如下所示（给出的 jQuery 示例）：

$(window).bind("beforeunload", function() { 
    $.ajax({
        url: "http://example.com/destroySession.php"
    });
});

该站点的回调可能针对一个页面，该页面根据用户的 sessionID 解锁库存项目，之后调用 PHP 命令session_destroy()。例如：

<?php

// Load your config bootstrap / etc.

session_start();

// Unlock target inventory items

session_destroy();

?>

Answer 7

您可以做的是在每个用户会话中保留一个标志（例如 last_activity），以检查您的会话是否处于活动状态并确定是解锁项目还是保持锁定状态。 这对我有用：

$sessionId = get_session_id_that_locked_the_item_from_db();

if(session_status() !== PHP_SESSION_ACTIVE) {
    session_start();
}
// get current session id.
$current_id = session_id();
// renew activity.
echo 'Renewed my activity.';
$_SESSION['active'] = 1;
// Close the current session
session_write_close();

if($current_id === $sessionId) {
    // the current user has locked the item.
}
// Check if the var active of this session exists.
elseif(!checkSessionlastActivity($sessionId, $current_id)) {
    // Show the inventory item.
    showInventoryItem();
    // Lock inventory when the item is selected(eg added to basket).
    if('I want to lock the item') {
       lockInventoryItem($current_id);
    }
}
else {
    echo 'Item is locked.';
}

function checkSessionlastActivity($id, $current_id) {
    // switch session to the one that locked the item.
    session_id($id);
    session_start();
    // get session is active.
    $active = ( isset($_SESSION['active'])? $_SESSION['active']: null);
    // Close the session.
    session_abort();
    // restore current session.
    session_id($current_id);
    session_start();

    if($active !== null) {
        return true;
    }
    return false;
}

function lockInventoryItem($current_id) {
    put_my_session_id_to_db($current_id);
}

function showInventoryItem() {
    echo 'You can select item';
}

注意：我不确定这是否适用于不同的系统。这可能取决于您的 php 会话设置。

意见：会话用于特定功能。我认为在属于不同用户的会话之间切换并不是会话的设计目的。无论如何，我建议您在为库存实施锁定解决方案之前使用此解决方法。

如果您只依赖会话是否已过期，请检查您的会话设置（session.gc_maxlifetime、session.gc_probability 和 session.gc_divisor），这也可以helpful。

Answer 8

// correct way
$id = 'abc';
session_id($id);
session_start();
$isActive = (session_status() === PHP_SESSION_ACTIVE);
session_write_close();
var_dump($isActive);

// tricky way (root required)
$id = 'abc';
$isActive = false;
$sessionTimeout = (int)ini_get('session.gc_maxlifetime');
$rdi = new RecursiveDirectoryIterator(session_save_path(), FilesystemIterator::SKIP_DOTS);
$rii = new RecursiveIteratorIterator($rdi);
$ri = new RegexIterator($rii, preg_quote("/sess_$id/"), RegexIterator::MATCH);
/**
 * @var $fileInfo SplFileInfo
 */
foreach ($ri as $fileInfo) {
    $expiredAt = $fileInfo->getMTime() + $sessionTimeout;
    $isActive = $expiredAt > time();
    if ($isActive) {
        break;
    } 
}
var_dump($isActive);

通常，将会话 ID 存储在 DB 中，而不是将会话保留在那里 - 这是一个坏主意。

看看http://php.net/manual/en/function.session-set-save-handler.php

根据您的个人资料，您知道 yii。 有一个很好的实现示例：

https://github.com/yiisoft/yii2/blob/master/framework/web/DbSession.php

https://github.com/yiisoft/yii2/blob/master/framework/web/Session.php#L97

https://github.com/yiisoft/yii2/blob/master/framework/web/Session.php#L148