关闭会话并开始一个新会话

Question

我正在我的 PHP 会话中测试安全检查的实现。我可以成功检测到会话是否从另一个 IP 地址启动，并且可以成功启动新会话。但是，旧会话中的数据会被复制到新会话中！如何在为其合法所有者保留先前会话数据的同时启动空白会话？

这是我迄今为止的代码，经过多次失败的尝试：

<?php

// Security check
if( isset($_SESSION['ip_address']) && $_SERVER['REMOTE_ADDR']!=$_SESSION['ip_address'] ){
    // Check failed: we'll start a brand new session
    session_regenerate_id(FALSE);
    $tmp = session_id();
    session_write_close();
    unset($_SESSION);
    session_id($tmp);
    session_start();
}

// First time here
if( !isset($_SESSION['ip_address']) ){
    $_SESSION['ip_address'] = $_SERVER['REMOTE_ADDR'];
    $_SESSION['start_date'] = new DateTime;
}

关于会话的官方文档非常混乱:(

更新：我发布了我通过反复试验获得的一些发现。他们似乎工作：

<?php

// Load the session that we will eventually discard
session_start();

// We can only generate a new ID from an open session
session_regenerate_id();

// We store the ID because it gets lost when closing the session
$tmp = session_id();

// Close session (doesn't destroy data: $_SESSION and file remains)
session_destroy();

// Set new ID for the next session
session_id($tmp);
unset($tmp);

// Start session (uses new ID, removes values from $_SESSION and loads the new ones if applicable)
session_start();

Answer 1

只需在session_regenerate_id 之后调用session_unset 即可重置当前会话的$_SESSION：

if (isset($_SESSION['ip_address']) && $_SERVER['REMOTE_ADDR']!=$_SESSION['ip_address']) {
    // Check failed: we'll start a brand new session
    session_regenerate_id(FALSE);
    session_unset();
}

Answer 2

当新用户连接到您的服务器时，脚本应该只能访问该用户的会话变量。您将希望将其他信息存储在散列会话变量中，以验证会话没有被劫持。如果它被劫持，没有理由开始一个新的会话，也许只是退出脚本并发出警告。

这是很多人用来对会话进行指纹识别的功能：

function fingerprint() {
    $fingerprint = $server_secure_word;
    $fingerprint .= $_SERVER['HTTP_USER_AGENT'];
    $blocks = explode('.', $_SERVER['REMOTE_ADDR']);
    for ($i=0; $i<$ip_blocks; $i++) {
        $fingerprint .= $blocks[$i] . '.';
    }
    return md5($fingerprint);
}

Answer 3

使用这个

unset($_SESSION['ip_address'])

而不是“未设置（$_session）” 你也可以使用 session_destroy。

Answer 4

session_destroy 将销毁会话数据。例如，

session_start();
$_SESSION["test"] = "test";
session_write_close();
session_start();
// now session is write to the session file
// call session_destroy() will destroy all session data in the file.
session_destroy();
// However the you can still access to $_SESSION here
print_r($_SESSION);
// But once you start the session again
session_start();
// all session data is gone as the session file is now empty
print_r($_SESSION);

会输出

array([test] => "test")array()