sessions ועוגיות ב-PHP: session_start ו-setcookie

קראו ל-session_start() בראש דף, ואז קראו וכתבו את $_SESSION['key'] כמו כל מערך: PHP שומרת אותו בשרת ומוצאת אותו שוב בבקשה הבאה של המבקר. לערך קטן שהדפדפן צריך לשמור, קראו ל-setcookie('name', 'value', time() + 86400) וקראו אותו בחזרה בבקשות מאוחרות יותר מ-$_COOKIE['name'].

<?php
session_start();                        // before any output
setcookie('theme', 'dark', time() + 60 * 60 * 24 * 30);   // 30 days, also before output

$_SESSION['visits'] = ($_SESSION['visits'] ?? 0) + 1;
$theme = $_COOKIE['theme'] ?? 'light';  // set on an earlier visit
echo "You have opened this page {$_SESSION['visits']} times.";

ל-sessions ולעוגיות יש משמעות רק על פני כמה בקשות HTTP מדפדפן, ולכן הדוגמאות שצריכות אחת כזו הן קוד רגיל. הלוגיקה שסביבן היא PHP רגילה על מערכים, והחלק הזה רץ כאן: בכל בלוק שאפשר להריץ, $session עומד במקום $_SESSION, וכל קריאה היא בקשה אחת.

<?php
// $session plays the part of $_SESSION across three requests
$session = [];

function visit(array &$session, string $page): string
{
    $session['visits'] = ($session['visits'] ?? 0) + 1;
    $session['history'][] = $page;
    return "Request {$session['visits']}: $page (seen: " . implode(', ', $session['history']) . ')';
}

echo visit($session, '/home'), "\n";
echo visit($session, '/docs/php'), "\n";
echo visit($session, '/pricing'), "\n";

איך session ב-PHP עובד

1. ה-session_start() הראשון יוצר מזהה אקראי, שולח אותו לדפדפן בעוגייה בשם PHPSESSID, ונותן לכם $_SESSION ריק.
2. בסוף הבקשה PHP שומרת את $_SESSION בשרת (בקבצים כברירת מחדל, או ב-Redis, או במסד נתונים).
3. בבקשה הבאה הדפדפן שולח את העוגייה בחזרה, session_start() קוראת את המזהה וטוענת את המערך השמור.

הדפדפן אף פעם לא רואה את הנתונים, רק את המזהה. לכן המזהה של המשתמש המחובר שייך ל-$_SESSION ואף פעם לא לעוגייה משלכם: מבקר יכול לערוך את העוגיות שלו לכל ערך, אבל הוא לא יכול לערוך את $_SESSION.

התחברות והתנתקות של משתמש עם session

התחברות היא: לבדוק את הסיסמה, לחדש את מזהה ה-session, לשמור את מזהה המשתמש. התנתקות היא ההפך, ויש לה שלושה צעדים.

<?php
// login.php
session_start();

$user = find_user_by_email($_POST['email'] ?? '');
if ($user && password_verify($_POST['password'] ?? '', $user['password_hash'])) {
    session_regenerate_id(true);        // new id after login: stops session fixation
    $_SESSION['user_id'] = $user['id'];
    header('Location: /dashboard.php');
    exit;
}
$error = 'Wrong email or password.';

<?php
// any protected page
session_start();
if (!isset($_SESSION['user_id'])) {
    header('Location: /login.php');
    exit;
}

<?php
// logout.php
session_start();
$_SESSION = [];                                     // 1. forget the data

$p = session_get_cookie_params();                   // 2. delete the cookie
setcookie(session_name(), '', time() - 3600, $p['path'], $p['domain'], $p['secure'], $p['httponly']);

session_destroy();                                  // 3. delete the stored session
header('Location: /');
exit;

session_regenerate_id(true) חשובה יותר ממה שהיא נראית. אם תוקף יכול לגרום לקורבן להשתמש במזהה session שהתוקף מכיר (למשל דרך קישור), והמזהה נשאר אותו דבר אחרי ההתחברות, התוקף מחובר גם הוא. מזהה חדש בהתחברות סוגר את החור הזה. בדיקת הסיסמה עצמה מוסברת בעמוד password_hash.

תפוגת session אחרי חוסר פעילות

הניקוי של PHP עצמה (session.gc_maxlifetime, 1440 שניות כברירת מחדל) רץ באקראי ואינו timeout אמין. שמרו את זמן הבקשה האחרונה ובדקו אותו בעצמכם. הבלוק משתמש בחותמות זמן קבועות כדי שתוכלו לראות כל מקרה; שנו את $timeout או את הזמנים.

<?php
function checkTimeout(array &$session, int $now, int $timeout = 900): bool
{
    $last = $session['last_seen'] ?? $now;
    if ($now - $last > $timeout) {
        $session = [];                  // in real code: session_unset() and a new id
        return false;
    }
    $session['last_seen'] = $now;
    return true;
}

$session = ['user_id' => 42];
$start = mktime(9, 0, 0, 3, 14, 2026);

foreach ([0, 300, 1000, 2000] as $offset) {
    $ok = checkTimeout($session, $start + $offset);
    printf("%s  %s  user_id=%s\n",
        date('H:i:s', $start + $offset),
        $ok ? 'active ' : 'expired',
        $session['user_id'] ?? 'none');
}

הפער מ-09:05 עד 09:16:40 הוא 700 שניות, מתחת למגבלה של 15 דקות, ולכן המשתמש נשאר מחובר. הפער הבא הוא 1000 שניות, ולכן ה-session מתנקה.

הודעות flash

הודעת flash מוגדרת בבקשה אחת ומוצגת פעם אחת בבקשה הבאה, בדרך כלל "Saved." אחרי הפניה. שמרו אותה ב-session, ואז קראו והסירו אותה בצעד אחד:

<?php
function flash(array &$session, ?string $message = null): ?string
{
    if ($message !== null) {
        $session['flash'] = $message;   // set it
        return null;
    }
    $message = $session['flash'] ?? null;
    unset($session['flash']);           // read it once
    return $message;
}

$session = [];
flash($session, 'Your profile was saved.');       // request 1: POST, then redirect

echo flash($session) ?? '(no message)', "\n";     // request 2: the page after the redirect
echo flash($session) ?? '(no message)', "\n";     // request 3: a refresh

הגדרת עוגייה עם setcookie

setcookie() מקבלת את השם, את הערך ומערך אפשרויות (PHP 7.3 ומעלה). הגדירו את ארבע האפשרויות האלה על כל עוגייה אלא אם יש לכם סיבה שלא:

<?php
setcookie('theme', 'dark', [
    'expires'  => time() + 60 * 60 * 24 * 30,   // 30 days; 0 means "until the browser closes"
    'path'     => '/',                          // send it on every page, not just this folder
    'secure'   => true,                         // only over HTTPS
    'httponly' => true,                         // JavaScript cannot read it
    'samesite' => 'Lax',                        // not sent on most cross-site requests
]);

$theme = $_COOKIE['theme'] ?? 'light';

שני דברים מכשילים אנשים:

• $_COOKIE לא משתנה באותה בקשה. הוא מחזיק את מה שהדפדפן שלח עם הבקשה הזו. עוגייה שאתם מגדירים עכשיו מופיעה ב-$_COOKIE בבקשה הבאה.
• עוגיות הן כותרות, ולכן setcookie() חייבת לרוץ לפני כל פלט, בדיוק כמו session_start() ו-header().

כדי למחוק עוגייה, הגדירו אותה שוב עם אותו שם ו-path ותאריך תפוגה בעבר: setcookie('theme', '', ['expires' => time() - 3600, 'path' => '/']).

שמירת מערך בעוגייה

ערך של עוגייה הוא מחרוזת של עד כ-4 KB, ולכן שמרו נתונים מובנים כ-JSON, והתייחסו למה שחוזר כלא אמין: המבקר יכול לשנות אותו. לעולם אל תעשו unserialize() לעוגייה: היא יכולה ליצור אובייקטים מהמחלקות שלכם ולהריץ את מתודות הקסם שלהם, בעוד json_decode() מחזירה רק מערכים, מחרוזות, מספרים, בוליאנים, null או stdClass.

<?php
$recent = ['php/foreach', 'php/explode', 'php/date'];

$value = json_encode($recent);          // what you would pass to setcookie()
echo $value, ' (', strlen($value), " bytes)\n";

// On the next request, $_COOKIE['recent'] holds that string. Decode and check it:
$cookie = '["php/foreach","php/explode","php/date"]';
$decoded = json_decode($cookie, true);
$list = is_array($decoded) ? array_filter($decoded, 'is_string') : [];
print_r($list);

// A tampered cookie is just bad input:
$decoded = json_decode('{"admin":true', true);
var_dump($decoded);

עמוד json_encode מכסה את הדגלים. לכל דבר גדול מכמה ערכים קצרים, השאירו את הנתונים ב-session (או במסד נתונים) ושמרו בעוגייה רק מפתח.

טוקנים של "remember me"

עוגיית "remember me" לא אמורה להחזיק את מזהה המשתמש או את ה-hash של הסיסמה. שמרו בעוגייה טוקן אקראי ארוך ובמסד הנתונים רק את ה-hash שלו, והשוו עם hash_equals():

<?php
// At login, with "remember me" ticked
$token = bin2hex(random_bytes(32));      // goes in the cookie
$stored = hash('sha256', $token);        // goes in the database, next to the user id

echo 'cookie:   ', $token, "\n";
echo 'database: ', $stored, "\n";

// On a later visit, the browser sends the token back
$fromCookie = $token;
var_dump(hash_equals($stored, hash('sha256', $fromCookie)));
var_dump(hash_equals($stored, hash('sha256', 'guessed-token')));

הערכים משתנים בכל הרצה, כי random_bytes() אקראית. אם מסד הנתונים דולף, ה-hashes חסרי תועלת בלי העוגיות, ו-hash_equals() משווה בזמן קבוע כך שהבדיקה לא מדליפה מידע תזמון.

session מול עוגייה: באיזה להשתמש

טעות נפוצה: headers already sent

session_start(), setcookie() ו-header() כולן שולחות כותרות HTTP, ואפשר לשלוח כותרות רק לפני הגוף. כל פלט קודם, אפילו שורה ריקה לפני <?php בקובץ שנכלל, מפיק:

Warning: session_start(): Session cannot be started after headers have already been sent in /var/www/page.php on line 3
Warning: Cannot modify header information - headers already sent by (output started at /var/www/page.php:2) in /var/www/page.php on line 4

ההודעה השנייה אומרת לכם איפה הפלט התחיל (page.php:2): לכו לשורה הזו והסירו את הפלט, או הזיזו את session_start() מעליה. בקבצים שמכילים רק PHP, השמטת ה-?> הסוגר מונעת מרווחים לבנים תועים אחריו להפוך לפלט.