PHPのセッションとCookie：session_startとsetcookie

ページの先頭でsession_start()を呼び、ほかの配列と同じように$_SESSION['key']を読み書きします。PHPはそれをサーバーに保存し、訪問者の次のリクエストで再び見つけます。ブラウザに保持させる小さな値なら、setcookie('name', 'value', time() + 86400)を呼び、あとのリクエストで$_COOKIE['name']から読み戻します。

<?php
session_start();                        // before any output
setcookie('theme', 'dark', time() + 60 * 60 * 24 * 30);   // 30 days, also before output

$_SESSION['visits'] = ($_SESSION['visits'] ?? 0) + 1;
$theme = $_COOKIE['theme'] ?? 'light';  // set on an earlier visit
echo "You have opened this page {$_SESSION['visits']} times.";

セッションとCookieは、ブラウザからの複数のHTTPリクエストにまたがってこそ意味があるので、それが必要な例は普通のコードにしています。その周りのロジックは配列に対する普通のPHPで、その部分はここで実行できます。実行できる各ブロックでは$sessionが$_SESSIONの代わりを務め、各呼び出しが1回のリクエストです。

<?php
// $session plays the part of $_SESSION across three requests
$session = [];

function visit(array &$session, string $page): string
{
    $session['visits'] = ($session['visits'] ?? 0) + 1;
    $session['history'][] = $page;
    return "Request {$session['visits']}: $page (seen: " . implode(', ', $session['history']) . ')';
}

echo visit($session, '/home'), "\n";
echo visit($session, '/docs/php'), "\n";
echo visit($session, '/pricing'), "\n";

PHPのセッションの仕組み

1. 最初のsession_start()がランダムなIDを作り、PHPSESSIDという名前のCookieでブラウザに送り、空の$_SESSIONを用意します。
2. リクエストの終わりに、PHPは$_SESSIONをサーバーに保存します（デフォルトではファイル、またはRedisやデータベース）。
3. 次のリクエストでブラウザがCookieを送り返し、session_start()がIDを読んで保存された配列を読み込みます。

ブラウザに見えるのはデータではなくIDだけです。だからこそ、ログイン中のユーザーのIDは自分で作ったCookieではなく$_SESSIONに置くべきなのです。訪問者は自分のCookieを任意の値に編集できますが、$_SESSIONは編集できません。

セッションでユーザーをログイン、ログアウトさせる

ログインは、パスワードを確認し、セッションIDを作り直し、ユーザーIDを保存することです。ログアウトはその逆で、3つのステップがあります。

<?php
// login.php
session_start();

$user = find_user_by_email($_POST['email'] ?? '');
if ($user && password_verify($_POST['password'] ?? '', $user['password_hash'])) {
    session_regenerate_id(true);        // new id after login: stops session fixation
    $_SESSION['user_id'] = $user['id'];
    header('Location: /dashboard.php');
    exit;
}
$error = 'Wrong email or password.';

<?php
// any protected page
session_start();
if (!isset($_SESSION['user_id'])) {
    header('Location: /login.php');
    exit;
}

<?php
// logout.php
session_start();
$_SESSION = [];                                     // 1. forget the data

$p = session_get_cookie_params();                   // 2. delete the cookie
setcookie(session_name(), '', time() - 3600, $p['path'], $p['domain'], $p['secure'], $p['httponly']);

session_destroy();                                  // 3. delete the stored session
header('Location: /');
exit;

session_regenerate_id(true)は見た目以上に重要です。攻撃者が自分の知っているセッションIDを（たとえばリンクを通して）被害者に使わせることができ、ログイン後もIDが同じままなら、攻撃者もログインしてしまいます。ログイン時に新しいIDを作れば、その穴をふさげます。パスワードの確認そのものはpassword_hashのページで扱っています。

操作がないときにセッションを期限切れにする

PHP自身の後片付け（session.gc_maxlifetime、デフォルトで1440秒）はランダムに実行され、信頼できるタイムアウトではありません。最後のリクエストの時刻を保存して、自分で確認しましょう。このブロックは各ケースがわかるよう固定のタイムスタンプを使っています。$timeoutや時刻を変えてみてください。

<?php
function checkTimeout(array &$session, int $now, int $timeout = 900): bool
{
    $last = $session['last_seen'] ?? $now;
    if ($now - $last > $timeout) {
        $session = [];                  // in real code: session_unset() and a new id
        return false;
    }
    $session['last_seen'] = $now;
    return true;
}

$session = ['user_id' => 42];
$start = mktime(9, 0, 0, 3, 14, 2026);

foreach ([0, 300, 1000, 2000] as $offset) {
    $ok = checkTimeout($session, $start + $offset);
    printf("%s  %s  user_id=%s\n",
        date('H:i:s', $start + $offset),
        $ok ? 'active ' : 'expired',
        $session['user_id'] ?? 'none');
}

09:05から09:16:40までの間隔は700秒で15分の上限より短いので、ユーザーはログインしたままです。次の間隔は1000秒なので、セッションがクリアされます。

フラッシュメッセージ

フラッシュメッセージは、あるリクエストで設定し、次のリクエストで1回だけ表示するもので、典型的にはリダイレクト後の「保存しました」です。セッションに保存し、1ステップで読んで削除します。

<?php
function flash(array &$session, ?string $message = null): ?string
{
    if ($message !== null) {
        $session['flash'] = $message;   // set it
        return null;
    }
    $message = $session['flash'] ?? null;
    unset($session['flash']);           // read it once
    return $message;
}

$session = [];
flash($session, 'Your profile was saved.');       // request 1: POST, then redirect

echo flash($session) ?? '(no message)', "\n";     // request 2: the page after the redirect
echo flash($session) ?? '(no message)', "\n";     // request 3: a refresh

setcookieでCookieを設定する

setcookie()は、名前、値、オプションの配列（PHP 7.3以降）を受け取ります。理由がない限り、すべてのCookieに次の4つのオプションを設定しましょう。

<?php
setcookie('theme', 'dark', [
    'expires'  => time() + 60 * 60 * 24 * 30,   // 30 days; 0 means "until the browser closes"
    'path'     => '/',                          // send it on every page, not just this folder
    'secure'   => true,                         // only over HTTPS
    'httponly' => true,                         // JavaScript cannot read it
    'samesite' => 'Lax',                        // not sent on most cross-site requests
]);

$theme = $_COOKIE['theme'] ?? 'light';

つまずきやすい点が2つあります。

• $_COOKIEは同じリクエストの中では変わりません。 それが持っているのは、ブラウザがこのリクエストと一緒に送ったものです。今設定したCookieは、次のリクエストで$_COOKIEに現れます。
• Cookieはヘッダーです。 そのためsetcookie()は、session_start()やheader()とまったく同じく、何かを出力する前に実行しなければなりません。

Cookieを削除するには、同じ名前とpathで過去の有効期限を付けてもう一度設定します：setcookie('theme', '', ['expires' => time() - 3600, 'path' => '/'])。

Cookieに配列を保存する

Cookieの値は最大で約4KBの文字列なので、構造化されたデータはJSONで保存し、戻ってきたものは信頼できないものとして扱いましょう。訪問者が変更できるからです。Cookieを決してunserialize()してはいけません。自分のクラスのオブジェクトを作ってそのマジックメソッドを実行できてしまいますが、json_decode()が返すのは配列、文字列、数値、真偽値、null、stdClassだけです。

<?php
$recent = ['php/foreach', 'php/explode', 'php/date'];

$value = json_encode($recent);          // what you would pass to setcookie()
echo $value, ' (', strlen($value), " bytes)\n";

// On the next request, $_COOKIE['recent'] holds that string. Decode and check it:
$cookie = '["php/foreach","php/explode","php/date"]';
$decoded = json_decode($cookie, true);
$list = is_array($decoded) ? array_filter($decoded, 'is_string') : [];
print_r($list);

// A tampered cookie is just bad input:
$decoded = json_decode('{"admin":true', true);
var_dump($decoded);

フラグについてはjson_encodeのページで扱っています。いくつかの短い値より大きいものは、セッション（またはデータベース）にデータを置き、Cookieにはキーだけを保存しましょう。

「ログインしたままにする」トークン

「ログインしたままにする」のCookieに、ユーザーIDやパスワードのハッシュを入れてはいけません。長いランダムなトークンをCookieに、そのハッシュだけをデータベースに保存し、hash_equals()で比較します。

<?php
// At login, with "remember me" ticked
$token = bin2hex(random_bytes(32));      // goes in the cookie
$stored = hash('sha256', $token);        // goes in the database, next to the user id

echo 'cookie:   ', $token, "\n";
echo 'database: ', $stored, "\n";

// On a later visit, the browser sends the token back
$fromCookie = $token;
var_dump(hash_equals($stored, hash('sha256', $fromCookie)));
var_dump(hash_equals($stored, hash('sha256', 'guessed-token')));

random_bytes()はランダムなので、値は実行のたびに変わります。データベースが漏えいしても、Cookieがなければハッシュは役に立たず、hash_equals()は一定の時間で比較するので、確認から時間の情報が漏れることもありません。

セッションとCookie：どちらを使うか

よくあるミス：headers already sent

session_start()、setcookie()、header()はどれもHTTPのヘッダーを送り、ヘッダーは本文より前にしか送れません。includeしたファイルの<?phpの前の空行でさえ、先に何かを出力すると次のようになります。

Warning: session_start(): Session cannot be started after headers have already been sent in /var/www/page.php on line 3
Warning: Cannot modify header information - headers already sent by (output started at /var/www/page.php:2) in /var/www/page.php on line 4

2つ目のメッセージは出力が始まった場所（page.php:2）を教えてくれます。その行に行って出力を取り除くか、session_start()をその上に移しましょう。PHPだけを含むファイルでは、閉じタグの?>を省けば、そのあとの余計な空白が出力になるのを防げます。