PHP 会话超时但 AJAX 调用仍然有效

Question

我使用 Apache、PHP、MySQL 在本地主机上创建了一个内部 Web 应用程序。

一个用户在使用它并在他的浏览器窗口中打开了一夜。当他回到应用程序并再次开始使用它时，直到他尝试离开该页面时才收到超时消息，这很好（并且是理想的）但是他所在的页面有很多 AJAX 片段，他能够使用（调用）ajax 页面并让它们毫无问题地出现！他以为他在工作，但当他最终导航到应用程序中的另一个页面时，它启动到登录屏幕并且他没有保存任何内容。

一旦他调用了 AJAX 页面，我希望应用程序检查是否有会话 id，如果没有找到，则启动回到登录页面。我怎样才能做到这一点？

每个 AJAX 页面都是它自己的 PHP 页面，并且在页面的最顶部有对 session_start(); 的调用，它们会在调用自定义函数后立即检查是否通过查找某个会话变量的存在来记录用户。那不应该没有找到会话变量，然后根据需要重定向，或者如果找不到，它是否会尝试创建一个全新的会话？

我需要类似 session_continue 而不是 session_start 的东西。

这是 php.ini 文件的摘录，其中包含相关的会话信息。

; Whether to use cookies.
   session.use_cookies = 1

; Define the probability that the 'garbage collection' process is started
; on every session initialization.
; The probability is calculated by using gc_probability/gc_divisor,
; e.g. 1/100 means there is a 1% chance that the GC process starts
; on each request.

session.gc_probability = 1
session.gc_divisor     = 1000

; After this number of seconds, stored data will be seen as 'garbage' and
; cleaned up by the garbage collection process.
session.gc_maxlifetime = 28888

Answer 1

与其在不检查旧会话是否过期的情况下启动新会话，不如在发出start_session() 之前先进行检查。

您可以通过检查是否仍有客户端发送的会话 cookie（通常为PHPSESSION，只要您没有更改名称）来轻松完成此操作。一旦过期，当前（最后一个）会话就消失了，用户需要重新登录。

为了妥善处理这个问题并总结上述cmets，您首先需要：

1. 检查是否有会话正在运行
2. 检查是否在运行会话中，用户已通过身份验证
3. 检查是否允许此用户提交当前操作

如果其中一项检查失败，请将他重定向到登录屏幕。然后，您可以终止任何正在运行的会话并使用新的会话 ID 开始一个新会话，以删除旧数据。

到目前为止，您在 php.ini 中所做的只是为旧会话数据设置垃圾收集。这是最后要做的。 “使用 cookie”将不会处理登录，例如对于您的应用程序，该应用程序当前像谷仓门一样打开，任何人都可以进入（“攻击”是错误的词）。