Session dan Cookie PHP: session_start dan setcookie

Panggil session_start() di bagian atas halaman, lalu baca dan tulis $_SESSION['key'] seperti array biasa: PHP menyimpannya di server dan menemukannya lagi pada request pengunjung berikutnya. Untuk nilai kecil yang perlu disimpan browser, panggil setcookie('name', 'value', time() + 86400) dan baca kembali pada request berikutnya dari $_COOKIE['name'].

<?php
session_start();                        // before any output
setcookie('theme', 'dark', time() + 60 * 60 * 24 * 30);   // 30 days, also before output

$_SESSION['visits'] = ($_SESSION['visits'] ?? 0) + 1;
$theme = $_COOKIE['theme'] ?? 'light';  // set on an earlier visit
echo "You have opened this page {$_SESSION['visits']} times.";

Session dan cookie baru berguna di beberapa request HTTP dari browser, jadi contoh yang membutuhkannya ditulis sebagai kode biasa. Logika di sekitarnya hanyalah PHP biasa yang mengolah array, dan bagian itu bisa dijalankan di sini: di setiap blok yang bisa dijalankan, $session menggantikan $_SESSION, dan setiap panggilan adalah satu request.

<?php
// $session plays the part of $_SESSION across three requests
$session = [];

function visit(array &$session, string $page): string
{
    $session['visits'] = ($session['visits'] ?? 0) + 1;
    $session['history'][] = $page;
    return "Request {$session['visits']}: $page (seen: " . implode(', ', $session['history']) . ')';
}

echo visit($session, '/home'), "\n";
echo visit($session, '/docs/php'), "\n";
echo visit($session, '/pricing'), "\n";

Cara kerja session PHP

1. session_start() yang pertama membuat id acak, mengirimkannya ke browser dalam cookie bernama PHPSESSID, dan memberimu $_SESSION yang kosong.
2. Di akhir request, PHP menyimpan $_SESSION di server (secara default dalam file, atau di Redis, atau di database).
3. Pada request berikutnya, browser mengirim cookie itu kembali, lalu session_start() membaca id-nya dan memuat array yang tersimpan.

Browser tidak pernah melihat datanya, hanya id-nya. Karena itulah id user yang sedang login harus disimpan di $_SESSION dan tidak pernah di cookie buatanmu sendiri: pengunjung bisa mengubah cookie-nya menjadi nilai apa pun, tetapi tidak bisa mengubah $_SESSION.

Login dan logout user dengan session

Login berarti: periksa password, buat ulang session id, simpan id user. Logout adalah kebalikannya, dan terdiri dari tiga langkah.

<?php
// login.php
session_start();

$user = find_user_by_email($_POST['email'] ?? '');
if ($user && password_verify($_POST['password'] ?? '', $user['password_hash'])) {
    session_regenerate_id(true);        // new id after login: stops session fixation
    $_SESSION['user_id'] = $user['id'];
    header('Location: /dashboard.php');
    exit;
}
$error = 'Wrong email or password.';

<?php
// any protected page
session_start();
if (!isset($_SESSION['user_id'])) {
    header('Location: /login.php');
    exit;
}

<?php
// logout.php
session_start();
$_SESSION = [];                                     // 1. forget the data

$p = session_get_cookie_params();                   // 2. delete the cookie
setcookie(session_name(), '', time() - 3600, $p['path'], $p['domain'], $p['secure'], $p['httponly']);

session_destroy();                                  // 3. delete the stored session
header('Location: /');
exit;

session_regenerate_id(true) lebih penting daripada kelihatannya. Kalau penyerang bisa membuat korban memakai session id yang diketahui penyerang (misalnya lewat sebuah link), dan id itu tetap sama setelah login, penyerang ikut login juga. Id baru saat login menutup celah itu. Pemeriksaan password sendiri dibahas di halaman password_hash.

Mengakhiri session setelah tidak ada aktivitas

Pembersihan bawaan PHP (session.gc_maxlifetime, default 1440 detik) berjalan secara acak dan bukan timeout yang bisa diandalkan. Simpan waktu request terakhir dan periksa sendiri. Blok ini memakai timestamp tetap supaya kamu bisa melihat setiap kasusnya; ubah $timeout atau waktunya.

<?php
function checkTimeout(array &$session, int $now, int $timeout = 900): bool
{
    $last = $session['last_seen'] ?? $now;
    if ($now - $last > $timeout) {
        $session = [];                  // in real code: session_unset() and a new id
        return false;
    }
    $session['last_seen'] = $now;
    return true;
}

$session = ['user_id' => 42];
$start = mktime(9, 0, 0, 3, 14, 2026);

foreach ([0, 300, 1000, 2000] as $offset) {
    $ok = checkTimeout($session, $start + $offset);
    printf("%s  %s  user_id=%s\n",
        date('H:i:s', $start + $offset),
        $ok ? 'active ' : 'expired',
        $session['user_id'] ?? 'none');
}

Jeda dari 09:05 ke 09:16:40 adalah 700 detik, di bawah batas 15 menit, jadi user tetap login. Jeda berikutnya 1000 detik, jadi session-nya dikosongkan.

Flash message

Flash message diset pada satu request dan ditampilkan sekali pada request berikutnya, biasanya "Tersimpan." setelah redirect. Simpan di session, lalu baca dan hapus dalam satu langkah:

<?php
function flash(array &$session, ?string $message = null): ?string
{
    if ($message !== null) {
        $session['flash'] = $message;   // set it
        return null;
    }
    $message = $session['flash'] ?? null;
    unset($session['flash']);           // read it once
    return $message;
}

$session = [];
flash($session, 'Your profile was saved.');       // request 1: POST, then redirect

echo flash($session) ?? '(no message)', "\n";     // request 2: the page after the redirect
echo flash($session) ?? '(no message)', "\n";     // request 3: a refresh

Menyimpan cookie dengan setcookie

setcookie() menerima nama, nilai, dan array opsi (PHP 7.3 ke atas). Pasang empat opsi ini di setiap cookie kecuali kamu punya alasan untuk tidak melakukannya:

<?php
setcookie('theme', 'dark', [
    'expires'  => time() + 60 * 60 * 24 * 30,   // 30 days; 0 means "until the browser closes"
    'path'     => '/',                          // send it on every page, not just this folder
    'secure'   => true,                         // only over HTTPS
    'httponly' => true,                         // JavaScript cannot read it
    'samesite' => 'Lax',                        // not sent on most cross-site requests
]);

$theme = $_COOKIE['theme'] ?? 'light';

Ada dua hal yang sering bikin bingung:

• $_COOKIE tidak berubah di request yang sama. Isinya adalah apa yang dikirim browser bersama request ini. Cookie yang kamu set sekarang baru muncul di $_COOKIE pada request berikutnya.
• Cookie adalah header, jadi setcookie() harus dijalankan sebelum output apa pun, persis seperti session_start() dan header().

Untuk menghapus cookie, set ulang dengan nama dan path yang sama serta waktu kedaluwarsa di masa lalu: setcookie('theme', '', ['expires' => time() - 3600, 'path' => '/']).

Menyimpan array di cookie

Nilai cookie adalah string berukuran paling banyak sekitar 4 KB, jadi simpan data terstruktur sebagai JSON, dan perlakukan apa yang kembali sebagai input yang tidak bisa dipercaya: pengunjung bisa mengubahnya. Jangan pernah unserialize() sebuah cookie: fungsi itu bisa membuat objek dari class milikmu sendiri dan menjalankan magic method-nya, sedangkan json_decode() hanya pernah mengembalikan array, string, angka, boolean, null, atau stdClass.

<?php
$recent = ['php/foreach', 'php/explode', 'php/date'];

$value = json_encode($recent);          // what you would pass to setcookie()
echo $value, ' (', strlen($value), " bytes)\n";

// On the next request, $_COOKIE['recent'] holds that string. Decode and check it:
$cookie = '["php/foreach","php/explode","php/date"]';
$decoded = json_decode($cookie, true);
$list = is_array($decoded) ? array_filter($decoded, 'is_string') : [];
print_r($list);

// A tampered cookie is just bad input:
$decoded = json_decode('{"admin":true', true);
var_dump($decoded);

Halaman json_encode membahas flag-nya. Untuk data yang lebih besar dari beberapa nilai pendek, simpan datanya di session (atau di database) dan simpan hanya sebuah key di cookie.

Token "remember me"

Cookie "remember me" tidak boleh berisi id user atau hash password. Simpan token acak yang panjang di cookie dan hanya hash-nya di database, lalu bandingkan dengan hash_equals():

<?php
// At login, with "remember me" ticked
$token = bin2hex(random_bytes(32));      // goes in the cookie
$stored = hash('sha256', $token);        // goes in the database, next to the user id

echo 'cookie:   ', $token, "\n";
echo 'database: ', $stored, "\n";

// On a later visit, the browser sends the token back
$fromCookie = $token;
var_dump(hash_equals($stored, hash('sha256', $fromCookie)));
var_dump(hash_equals($stored, hash('sha256', 'guessed-token')));

Nilainya berubah setiap kali dijalankan, karena random_bytes() memang acak. Kalau database bocor, hash-hash itu tidak berguna tanpa cookie-nya, dan hash_equals() membandingkan dalam waktu konstan sehingga pemeriksaannya tidak membocorkan informasi waktu.

Session vs cookie: mana yang dipakai

Kesalahan umum: headers already sent

session_start(), setcookie(), dan header() semuanya mengirim header HTTP, dan header hanya bisa dikirim sebelum body. Output apa pun yang lebih dulu, bahkan satu baris kosong sebelum <?php di file yang di-include, menghasilkan:

Warning: session_start(): Session cannot be started after headers have already been sent in /var/www/page.php on line 3
Warning: Cannot modify header information - headers already sent by (output started at /var/www/page.php:2) in /var/www/page.php on line 4

Pesan kedua memberi tahu di mana output dimulai (page.php:2): buka baris itu dan hapus output-nya, atau pindahkan session_start() ke atasnya. Di file yang hanya berisi PHP, tidak menulis tag penutup ?> mencegah whitespace yang tersisa setelahnya menjadi output.