PHP Session ve Cookie: session_start ve setcookie

Bir sayfanın başında session_start() çağırın, sonra $_SESSION['key'] değerini herhangi bir dizi gibi okuyup yazın: PHP onu sunucuda kaydeder ve ziyaretçinin bir sonraki isteğinde yeniden bulur. Tarayıcının tutması gereken küçük bir değer için setcookie('name', 'value', time() + 86400) çağırın ve sonraki isteklerde onu $_COOKIE['name'] üzerinden geri okuyun.

<?php
session_start();                        // before any output
setcookie('theme', 'dark', time() + 60 * 60 * 24 * 30);   // 30 days, also before output

$_SESSION['visits'] = ($_SESSION['visits'] ?? 0) + 1;
$theme = $_COOKIE['theme'] ?? 'light';  // set on an earlier visit
echo "You have opened this page {$_SESSION['visits']} times.";

Oturumlar ve çerezler yalnızca bir tarayıcıdan gelen birkaç HTTP isteği boyunca anlam taşır, bu yüzden buna ihtiyaç duyan örnekler düz koddur. Etraflarındaki mantık diziler üzerinde sıradan PHP'dir ve o kısım burada çalışır: çalıştırılabilir her blokta $session $_SESSION yerine geçer ve her çağrı bir istektir.

<?php
// $session plays the part of $_SESSION across three requests
$session = [];

function visit(array &$session, string $page): string
{
    $session['visits'] = ($session['visits'] ?? 0) + 1;
    $session['history'][] = $page;
    return "Request {$session['visits']}: $page (seen: " . implode(', ', $session['history']) . ')';
}

echo visit($session, '/home'), "\n";
echo visit($session, '/docs/php'), "\n";
echo visit($session, '/pricing'), "\n";

Bir PHP oturumu nasıl çalışır

1. İlk session_start() rastgele bir id oluşturur, onu tarayıcıya PHPSESSID adlı bir çerezle gönderir ve size boş bir $_SESSION verir.
2. İsteğin sonunda PHP $_SESSION dizisini sunucuda kaydeder (varsayılan olarak dosyalarda ya da Redis'te veya bir veritabanında).
3. Bir sonraki istekte tarayıcı çerezi geri gönderir, session_start() id'yi okur ve kaydedilen diziyi yükler.

Tarayıcı veriyi asla görmez, yalnızca id'yi görür. Giriş yapmış kullanıcının id'sinin kendi çerezinizde değil $_SESSION içinde olmasının nedeni budur: bir ziyaretçi çerezlerini herhangi bir değere düzenleyebilir, ama $_SESSION dizisini düzenleyemez.

Bir oturumla kullanıcı girişi ve çıkışı

Giriş yapmak şudur: parolayı kontrol et, oturum id'sini yeniden oluştur, kullanıcı id'sini sakla. Çıkış yapmak bunun tersidir ve üç adımı vardır.

<?php
// login.php
session_start();

$user = find_user_by_email($_POST['email'] ?? '');
if ($user && password_verify($_POST['password'] ?? '', $user['password_hash'])) {
    session_regenerate_id(true);        // new id after login: stops session fixation
    $_SESSION['user_id'] = $user['id'];
    header('Location: /dashboard.php');
    exit;
}
$error = 'Wrong email or password.';

<?php
// any protected page
session_start();
if (!isset($_SESSION['user_id'])) {
    header('Location: /login.php');
    exit;
}

<?php
// logout.php
session_start();
$_SESSION = [];                                     // 1. forget the data

$p = session_get_cookie_params();                   // 2. delete the cookie
setcookie(session_name(), '', time() - 3600, $p['path'], $p['domain'], $p['secure'], $p['httponly']);

session_destroy();                                  // 3. delete the stored session
header('Location: /');
exit;

session_regenerate_id(true) göründüğünden daha önemlidir. Bir saldırgan bir kurbanın saldırganın bildiği bir oturum id'sini kullanmasını sağlayabilirse (örneğin bir bağlantı üzerinden) ve id girişten sonra aynı kalırsa, saldırgan da giriş yapmış olur. Girişte yeni bir id bu açığı kapatır. Parola kontrolünün kendisi password_hash sayfasında anlatılıyor.

Hareketsizlikten sonra bir oturumu sona erdirme

PHP'nin kendi temizliği (session.gc_maxlifetime, varsayılan 1440 saniye) rastgele çalışır ve güvenilir bir zaman aşımı değildir. Son isteğin zamanını saklayın ve kendiniz kontrol edin. Blok her durumu görebilmeniz için sabit zaman damgaları kullanır; $timeout değerini veya zamanları değiştirin.

<?php
function checkTimeout(array &$session, int $now, int $timeout = 900): bool
{
    $last = $session['last_seen'] ?? $now;
    if ($now - $last > $timeout) {
        $session = [];                  // in real code: session_unset() and a new id
        return false;
    }
    $session['last_seen'] = $now;
    return true;
}

$session = ['user_id' => 42];
$start = mktime(9, 0, 0, 3, 14, 2026);

foreach ([0, 300, 1000, 2000] as $offset) {
    $ok = checkTimeout($session, $start + $offset);
    printf("%s  %s  user_id=%s\n",
        date('H:i:s', $start + $offset),
        $ok ? 'active ' : 'expired',
        $session['user_id'] ?? 'none');
}

09:05 ile 09:16:40 arasındaki boşluk 700 saniyedir, 15 dakikalık sınırın altındadır, bu yüzden kullanıcı içeride kalır. Bir sonraki boşluk 1000 saniyedir, bu yüzden oturum temizlenir.

Flash mesajları

Bir flash mesajı bir istekte ayarlanır ve bir sonrakinde bir kez gösterilir, tipik olarak bir yönlendirmeden sonra "Saved." mesajı. Onu oturumda saklayın, sonra tek adımda okuyup silin:

<?php
function flash(array &$session, ?string $message = null): ?string
{
    if ($message !== null) {
        $session['flash'] = $message;   // set it
        return null;
    }
    $message = $session['flash'] ?? null;
    unset($session['flash']);           // read it once
    return $message;
}

$session = [];
flash($session, 'Your profile was saved.');       // request 1: POST, then redirect

echo flash($session) ?? '(no message)', "\n";     // request 2: the page after the redirect
echo flash($session) ?? '(no message)', "\n";     // request 3: a refresh

setcookie ile bir çerez ayarlama

setcookie() adı, değeri ve bir seçenekler dizisini alır (PHP 7.3 ve sonrası). Bir nedeniniz olmadıkça bu dört seçeneği her çerezde ayarlayın:

<?php
setcookie('theme', 'dark', [
    'expires'  => time() + 60 * 60 * 24 * 30,   // 30 days; 0 means "until the browser closes"
    'path'     => '/',                          // send it on every page, not just this folder
    'secure'   => true,                         // only over HTTPS
    'httponly' => true,                         // JavaScript cannot read it
    'samesite' => 'Lax',                        // not sent on most cross-site requests
]);

$theme = $_COOKIE['theme'] ?? 'light';

İki şey insanları şaşırtır:

• $_COOKIE aynı istekte değişmez. Tarayıcının bu istekle gönderdiğini tutar. Şimdi ayarladığınız bir çerez $_COOKIE içinde bir sonraki istekte görünür.
• Çerezler başlıktır, bu yüzden setcookie() tıpkı session_start() ve header() gibi herhangi bir çıktıdan önce çalışmalıdır.

Bir çerezi silmek için onu aynı ad ve path ile ve geçmişte bir son kullanma tarihiyle yeniden ayarlayın: setcookie('theme', '', ['expires' => time() - 3600, 'path' => '/']).

Bir çerezde dizi saklama

Bir çerez değeri en fazla yaklaşık 4 KB'lık bir dizgedir, bu yüzden yapılandırılmış veriyi JSON olarak saklayın ve geri geleni güvenilmez sayın: ziyaretçi onu değiştirebilir. Bir çerezi asla unserialize() ile açmayın: kendi sınıflarınızdan nesneler oluşturup sihirli metotlarını çalıştırabilir, json_decode() ise yalnızca diziler, dizgeler, sayılar, boolean değerler, null veya stdClass döndürür.

<?php
$recent = ['php/foreach', 'php/explode', 'php/date'];

$value = json_encode($recent);          // what you would pass to setcookie()
echo $value, ' (', strlen($value), " bytes)\n";

// On the next request, $_COOKIE['recent'] holds that string. Decode and check it:
$cookie = '["php/foreach","php/explode","php/date"]';
$decoded = json_decode($cookie, true);
$list = is_array($decoded) ? array_filter($decoded, 'is_string') : [];
print_r($list);

// A tampered cookie is just bad input:
$decoded = json_decode('{"admin":true', true);
var_dump($decoded);

json_encode sayfası bayrakları anlatır. Birkaç kısa değerden büyük her şey için veriyi oturumda (veya bir veritabanında) tutun ve çerezde yalnızca bir anahtar saklayın.

"Beni hatırla" belirteçleri

Bir "beni hatırla" çerezi kullanıcı id'sini veya parola hash'ini tutmamalıdır. Çerezde uzun rastgele bir belirteç, veritabanında yalnızca onun hash'ini saklayın ve hash_equals() ile karşılaştırın:

<?php
// At login, with "remember me" ticked
$token = bin2hex(random_bytes(32));      // goes in the cookie
$stored = hash('sha256', $token);        // goes in the database, next to the user id

echo 'cookie:   ', $token, "\n";
echo 'database: ', $stored, "\n";

// On a later visit, the browser sends the token back
$fromCookie = $token;
var_dump(hash_equals($stored, hash('sha256', $fromCookie)));
var_dump(hash_equals($stored, hash('sha256', 'guessed-token')));

Değerler her çalıştırmada değişir, çünkü random_bytes() rastgeledir. Veritabanı sızarsa hash'ler çerezler olmadan işe yaramaz ve hash_equals() sabit sürede karşılaştırır, böylece kontrol zamanlama bilgisi sızdırmaz.

Oturum ile çerez: hangisini kullanmalı

Sık yapılan hata: headers already sent

session_start(), setcookie() ve header() hepsi HTTP başlıkları gönderir ve başlıklar yalnızca gövdeden önce gönderilebilir. Önce gelen herhangi bir çıktı, dahil edilen bir dosyada <?php öncesindeki boş bir satır bile, şunu üretir:

Warning: session_start(): Session cannot be started after headers have already been sent in /var/www/page.php on line 3
Warning: Cannot modify header information - headers already sent by (output started at /var/www/page.php:2) in /var/www/page.php on line 4

İkinci mesaj çıktının nerede başladığını söyler (page.php:2): o satıra gidin ve çıktıyı kaldırın ya da session_start() çağrısını onun üstüne taşıyın. Yalnızca PHP içeren dosyalarda kapanış ?> etiketini yazmamak, ondan sonraki fazladan boşlukların çıktıya dönüşmesini önler.