初歩的な質問 セッション管理について

質問

セッション処理をしたいと考えていますが、
分からない点が多く困っています。

したいと思っていることは、「ログイン」的な処理です。

訪問者がブラウザを閉じても、サイト設計者が設定した「期間」、
ログイン状態をキープさせておけるような仕様です。

※よくあるタイプです。
（特段、難しいことや変わったことをしようとしてはいません。）

ただ、ちょっと変わっている点は、ログインはパスワード無しで行います。
フォーム（POST）でボタンをクリックしたら、誰でもログインできるようなものです。

で、上記処理をする方法として、大きく分けて、
（１）クッキー（$_COOKIE）を使う方法と、
（２）セッション（$_SESSION）を使う方法とがあるように思っています。

（１）の方法だと、
データそのものをクライアント側に保存させるのでセキュリティ上、やや難があり、
（２）の方法だと、「キー（セッションID）」だけをやりとりするので比較的安全、
ということをよく耳にします。

ただ、パスワードを扱うわけではないので、この場合には、
（１）の方法でもアリな気がしています。

しかし、今後、パスワード形式に移行しないとも限らないので、
（２）を使った方法で話を進めたいと思います。

パスワードのやりとりがないのなら、（１）の方が断然楽でいいよ～
ということであれば、話は変わってきます。
その場合には教えて下さい。

（※質問文の中で、私は随所に変なことを言っている可能性がありますので、
適宜、ご指摘頂けると嬉しく思います。）

話を戻しまして、
ここからは、前述の（２）の方法で話を続けさせて頂きます。

セッション処理の流れについてですが、
セッションIDをクライアントに送りつけ、保存させる方法は、
session_start()をスクリプト先頭に書き、
$_SESSION['login'] = 'おまえはもう、ログインしてる…。';
と、どこかに書くことで、

この$_SESSION['login']値を保持している間、訪問者は、
サイト内のページを、ログインされた状態として閲覧できる
と、私は考えています。
何か変なことを言っていましたら、ご指摘下さい。（★ポイント１）

//-----------------------------------

次に、セッション保持期間の設定の方法についてですが、
ネット上で調べた所、
ini_set("session.gc_maxlifetime", "1440");
のように設定できると書いてありました。

このini_set()による設定が、どう作用するのか、
この点もよく分からずにいます。（★ポイント２）

session.gc_maxlifetimeの設定自体は、スクリプト終了とともに、
Master Valueに戻されるようですが（PHPマニュアルより）、
私が気になっているのは、
そのスクリプトで生成したセッションの保持期間は、どうなっているのか？
ということです。

ちょっと乱暴な書き方をしますが、
例えば、

php.ini上（つまり、Master Valueの設定値）では、
session.gc_maxlifetime:1440
というような設定 の場合に、

スクリプトAの中で、
ini_set("session.gc_maxlifetime", "～仮に24時間としておきます～");
のように書き、
そのあとに、
$_SESSION['login'] = 'おまえはもう、ログインしてる…。';
と書いた場合、
クライアントには、$_SESSION['login']のデータは24時間保持される、
ということでしょうか。

つまり、
スクリプト内に書いた、
ini_set("session.gc_maxlifetime", "～仮に24時間としておきます～");
という記述は、
そのスクリプトでセッションIDをクライアントに与える場合の「そのセッションIDの保持期間」のみ
を設定できる、という理解でよろしいでしょうか。

当たり前のことをお聞きしているかもしれませんが、
どなたか、どうか、よろしくお願い致します。

回答No.6

hogehoge78

■フローに関して
若干誤解があるようです。
記述するプログラム中でCookieを診断はしてません。
プログラムで判断するフローは、
・セッションが引かれているか
↓
・引かれていた場合、セッション変数に値が残っているので値をチェック（$_SESSION['time']のことです。私の書いたものはセッション変数が惹かれているかははしょってあります）
↓
・セッションが引かれていないか、セッションの有効期限が過ぎている場合、ログアウト（またはログアウト画面へのリダイレクト）処理（上記セッションがそもそも引かれていない場合どうするかの診断もはしょってあります）

という流れです。有効期限について、
（１）Cookieというセッションとは別物のクライアントにのこるファイルの有効期限
（２）サーバにのこるセッションのファイルの有効期限
（３）プログラムで制御したいセッションというものの有効期限

と、有効期限は三種類あるわけですが、
（１）は書き換え可能なので、不正な有効期限のものが送りつけられてくる上に、PHP上でセッションを閉じても(session_destroy)してもCookieの有効期限が残っていればCookieは削除されないので、セッションを閉じる際に同時にCookieも強制的に削除する必要があります。
（２）これは、session_destroyするか、session.gc_maxlifetimeに到達して且つ、GC（ガベージコレクト）が発動した場合に削除されます。
http://monolog.spanstyle.com/2005/07/session.html
こちらにGCについて詳しく書いてありましたが、つまるところ、一定確率でGCが発動するので、GCが発動しなければ残っている可能性があるものです。
（３）そうすると（１）と（２）がプログラム中で、自分で意図した有効期限外でもログイン中としてプログラムが動いてしまう場合があります。
そこで、セッション変数にログイン日時を与えてやって、有効期限を確認し、有効期限外だったらプログラムから両方のファイルを削除してやる必要があります。
<?php
if (isset($_COOKIE[session_name()])) {
setcookie(session_name(), '', time()-42000, '/');
}
session_destroy();
?>
ここの処理のくだりは既に「このセッションは有効でないからログアウトすることに決定」という判断がされた後の記述ですので、判断を行っている場所ではないです。単純にCookieとセッションを削除するための記述です。
if(isset($_COOKIE[session_name()]))
これは、$_COOKIE変数に、そのキーが存在するかの有無を単純にチェックしているだけです。存在していたら削除する、というだけで、それ以外に意図はないです。どうしても気になるのであれば、
<?php
setcookie(session_name(), '', time()-42000, '/');
session_destroy();
?>
とだけ記述しても削除されます。ただし、今後docomoのようにCookieを保存できない端末で利用するように環境を変更した場合、ログアウトの時に無駄な処理（Cookieが使えないのにsetcookieを行う）が発生しますね。

補足

プログラムで判断するフローは、

＞・セッションが引かれているか
＞私の書いたものはセッション変数が惹かれているかははしょってあります

プログラムのフローの中には、
「セッションがひかれているか」を確認する処理は
書かれてはいないが、これは実際には必要で、
その処理は、ここでは「はしょられている」という理解でよろしいですか。

session_start();
が正常に宣言されているかどうか、
これが、つまり、セッションが引かれているかどうか、
と同じ意味なのですよね？

セッションを引く　＝　session_start();

と私は解釈しています。

で、このsession_start();が、問題なく宣言できたかどうかを判定する処理が必要なわけですね。
（hogehoge78さんが書いて下さったソースの中では、はしょられている、ということですよね。）

この判定の仕方については、自分で調べますね！

＞・セッションが引かれていないか、セッションの有効期限が過ぎている場合（、ログアウト）

if($max < time()){～（ログアウト処理）～
ということですよね。

/*----------------
有効期限について、

（１）「セッションとは別物」の「クライアントにのこるCookieというファイル」の有効期限

（２）サーバにのこる、セッションファイルの有効期限

（３）プログラムで制御したいセッションというものの有効期限
----------------*/

＞と、有効期限は三種類あるわけですが、

（２）と（３）の違いが、私の中で明確ではありませんでした。
そして、現在も、若干、混同しています。苦笑
おかげさまで、（１）はOK。

＞（１）はPHP上でセッションを閉じても(session_destroy)しても Cookieの有効期限が残っていればCookieは削除されないので

フローを再確認
----------------★★★-------------------------
・session_start();
・セッションファイルがランダム名でサーバ側に作成されます。
・その中に適宜、セッション変数のデータが入れられます。
・そのデータ（あれ？！データではなく、セッションファイルと、かな？！）と1対1対応で結びついている照合証のようなものが、クライアント側に渡されているクッキーファイルのクッキー値です。
・セッションを閉じるとは、サーバ側に置かれているセッションファイルを削除することです。

/*
セッションファイルと、その中の値であるセッション変数？
の関係がよく分かっていない気がします！汗
*/
//-------↓　by 某サイト　↓------
・ただし、セッションファイルを削除しても、メモリ内には、セッション変数とその値が残っているので、これを削除してから、session_destroy()する必要があります。
よって、

$_SESSION = array();
session_destroy();

のような方法で処理する方が良い。

（私が誤解していたら、爆死です。）

//------↑　by 某サイト　↑------

で、

＞Cookieの有効期限が残っていればCookieは削除されないので、

setcookie(session_name(), '', time()-42000, '/');

にて、クッキーも削除する必要がある、と。

つまり、

セッションを閉じる場合には、その下準備がいくつか必要なのでしょうか？

（A）まず、メモリ内のセッション変数とその格納値をarray()等で削除
（B）次に、クッキーファイルの有効期限をマイナス化
（C）ようやく、session_destroy();

（A)の過程は、（B)をするのであれば、必要ない処理でしょうか？

それと、
「セッションが閉じられても、クッキーの有効期限が残っている場合」とは、どんな場合なのでしょう。

閉じたはずのセッションが、また使われてしまいかねない状況なのでしょうか？

/*
分からないことだらけで、すみません。
でも、ようやく核心部分に辿り着けたような気がしています。
*/

----------------★★★-------------------------

＞（２）これは、session_destroyするか、session.gc_maxlifetimeに到達して且つ、GC（ガベージコレクト）が発動した場合に削除されます。
http://monolog.spanstyle.com/2005/07/session.html

実は、このサイトを予め読んだ上で、本質問をしたのでした。笑
なので、その内容については、概ね理解できているものと思って頂いて結構です。

＞ここの処理のくだりは～（中略）～それ以外に意図はないです。

こういった、プログラムの背景について説明頂けると、とても分かりやすいですね＾＾
助かります。

＞ただし、今後docomoのようにCookieを保存できない端末で～（中略）～無駄な処理が発生しますね。

ここも同様に助かります。
if文を挟むことで、プログラムの汎用性が高まるわけですね。