PHP中的会话超时：最佳实践

Question

session.gc_maxlifetime和之间的实际区别是session_cache_expire()什么？

假设我希望用户会话在闲置15分钟后无效（而不是在第一次打开后15分钟内无效）。其中哪一项对我有帮助？

我也知道我可以这样做session_set_cookie_params()，可以将用户的Cookie设置为在一定时间内过期。但是，cookie过期与服务器端的实际会话过期是不相同的。Cookie过期后，这还会删除会话吗？

我的另一个解决方案是$_SESSION['last_time'] = time() 对每个请求都很简单
，然后将会话与当前时间进行比较，然后基于该时间删除会话。我希望有更多的“内置”机制来处理此问题。

谢谢。

Answer 1

每次调用session_start时，都会更新会话文件的时间戳（如果存在），该时间戳用于计算是否超过了session.gc_maxlifetime。

更重要的是，在超过session.gc_maxlifetime时间之后，您不能依赖会话过期。

PHP在当前会话加载后，在过期的会话上运行垃圾回收，并通过使用session.gc_probability和session.gc_divisor来计算垃圾回收将运行的可能性。默认情况下，其概率为1％。

如果访问者数量少，则闲置的用户可能会访问应该已过期并已删除的会话。如果这对您很重要，则需要在会话中存储时间戳并计算用户不活动的日志方式。

此示例替换session_start并强制超时：

function my_session_start($timeout = 1440) {
    ini_set('session.gc_maxlifetime', $timeout);
    session_start();

    if (isset($_SESSION['timeout_idle']) && $_SESSION['timeout_idle'] < time()) {
        session_destroy();
        session_start();
        session_regenerate_id();
        $_SESSION = array();
    }

    $_SESSION['timeout_idle'] = time() + $timeout;
}