设置会话持续时间以在 PHP 中继续的正确方法是什么？

Question

通常网站会为用户提供记住其登录信息的选项，因此它会在第一次会话开始时将 cookie 生命周期设置为零或 X。

为了记住这个选择，我将生命周期值放在 $_SESSION 变量中。但是当我想继续会话时，我无法在会话开始之前检索此值，如果我想调用 session_set_cookie_params()，我必须在之前进行。

所以目前我在继续会话时不调用 session_set_cookie_params()。相反，我存储会话开始时的当前时间，并在会话继续时检查它。这是代码（注意：这是一个简化版本，原始代码包含所有其他需要的东西，如 session_register_shutdown()）：

// when I start the session

[...]

session_set_cookie_params($duration); // $duration was set before
session_start();      
$_SESSION['starttime'] = time();
$_SESSION['duration'] = $duration;


//-----------------------------------
// when I continue the session


$ok = true;

session_start();

if (isset($_SESSION['starttime']))
{
    $elapsed = $_SESSION['starttime']; - time();
    $duration = $_SESSION['duration'];
    if ($elapsed >= $duration and $duration !== 0)
    {
        $ok = false;
    }
}
else
{
    $ok = false;
}

if (! $ok)
{
    // destroy the session
}

这是正确的吗？如果不是，为什么以及是否有更智能的方法来处理会话持续时间？

Answer 1

设置 cookie 生命周期不是您唯一需要做的事情，您还必须设置 session.max_lifetime - 名称不正确，实际上是一个 min 生命周期，必须通过在最后一次访问会话文件之后，在允许垃圾收集器从磁盘清理它之前。

您可能根本不应该为此使用会话机制本身。相反，设置您自己的 cookie，它允许您再次识别登录用户 - f.e.包含用户名或 id，以及使用秘密盐散列的用户独有的东西。如果您收到该 cookie 值（并已对其进行验证）并且您的会话中还没有登录用户 - 登录他们，加载所有必要的数据以放入会话等。