Session và cookie trong PHP: session_start và setcookie

Gọi session_start() ở đầu trang, rồi đọc và ghi $_SESSION['key'] như mọi mảng khác: PHP lưu nó trên máy chủ và tìm lại được ở request tiếp theo của người xem. Với một giá trị nhỏ mà trình duyệt nên giữ, gọi setcookie('name', 'value', time() + 86400) và đọc lại ở các request sau từ $_COOKIE['name'].

<?php
session_start();                        // before any output
setcookie('theme', 'dark', time() + 60 * 60 * 24 * 30);   // 30 days, also before output

$_SESSION['visits'] = ($_SESSION['visits'] ?? 0) + 1;
$theme = $_COOKIE['theme'] ?? 'light';  // set on an earlier visit
echo "You have opened this page {$_SESSION['visits']} times.";

Session và cookie chỉ có ý nghĩa qua nhiều request HTTP từ trình duyệt, nên các ví dụ cần đến chúng là code thường. Phần logic xung quanh chỉ là PHP bình thường trên mảng, và phần đó chạy được ngay tại đây: trong mỗi khối code chạy được, $session đóng vai $_SESSION, và mỗi lần gọi là một request.

<?php
// $session plays the part of $_SESSION across three requests
$session = [];

function visit(array &$session, string $page): string
{
    $session['visits'] = ($session['visits'] ?? 0) + 1;
    $session['history'][] = $page;
    return "Request {$session['visits']}: $page (seen: " . implode(', ', $session['history']) . ')';
}

echo visit($session, '/home'), "\n";
echo visit($session, '/docs/php'), "\n";
echo visit($session, '/pricing'), "\n";

Session PHP hoạt động thế nào

1. Lần gọi session_start() đầu tiên tạo một id ngẫu nhiên, gửi nó về trình duyệt trong cookie tên PHPSESSID, và đưa cho bạn một $_SESSION rỗng.
2. Cuối request, PHP lưu $_SESSION trên máy chủ (mặc định trong tệp, hoặc Redis, hoặc cơ sở dữ liệu).
3. Ở request tiếp theo, trình duyệt gửi cookie trở lại, session_start() đọc id và nạp mảng đã lưu.

Trình duyệt không bao giờ thấy dữ liệu, chỉ thấy id. Đó là lý do id của người dùng đã đăng nhập phải nằm trong $_SESSION và không bao giờ nằm trong một cookie do bạn tự đặt: người xem có thể sửa cookie thành bất kỳ giá trị nào, nhưng không sửa được $_SESSION.

Đăng nhập và đăng xuất bằng session

Đăng nhập gồm: kiểm tra mật khẩu, tạo lại session id, lưu id người dùng. Đăng xuất là quá trình ngược lại, gồm ba bước.

<?php
// login.php
session_start();

$user = find_user_by_email($_POST['email'] ?? '');
if ($user && password_verify($_POST['password'] ?? '', $user['password_hash'])) {
    session_regenerate_id(true);        // new id after login: stops session fixation
    $_SESSION['user_id'] = $user['id'];
    header('Location: /dashboard.php');
    exit;
}
$error = 'Wrong email or password.';

<?php
// any protected page
session_start();
if (!isset($_SESSION['user_id'])) {
    header('Location: /login.php');
    exit;
}

<?php
// logout.php
session_start();
$_SESSION = [];                                     // 1. forget the data

$p = session_get_cookie_params();                   // 2. delete the cookie
setcookie(session_name(), '', time() - 3600, $p['path'], $p['domain'], $p['secure'], $p['httponly']);

session_destroy();                                  // 3. delete the stored session
header('Location: /');
exit;

session_regenerate_id(true) quan trọng hơn vẻ ngoài của nó. Nếu kẻ tấn công khiến nạn nhân dùng một session id mà hắn biết (chẳng hạn qua một liên kết), và id vẫn giữ nguyên sau khi đăng nhập, thì kẻ tấn công cũng được đăng nhập theo. Một id mới khi đăng nhập sẽ bịt lỗ hổng đó. Bản thân việc kiểm tra mật khẩu được trình bày ở trang password_hash.

Cho session hết hạn khi không hoạt động

Cơ chế dọn dẹp riêng của PHP (session.gc_maxlifetime, mặc định 1440 giây) chạy ngẫu nhiên và không phải là thời gian chờ đáng tin cậy. Hãy lưu thời điểm của request gần nhất và tự kiểm tra. Khối code dùng các timestamp cố định để bạn thấy từng trường hợp; thử đổi $timeout hoặc các mốc thời gian.

<?php
function checkTimeout(array &$session, int $now, int $timeout = 900): bool
{
    $last = $session['last_seen'] ?? $now;
    if ($now - $last > $timeout) {
        $session = [];                  // in real code: session_unset() and a new id
        return false;
    }
    $session['last_seen'] = $now;
    return true;
}

$session = ['user_id' => 42];
$start = mktime(9, 0, 0, 3, 14, 2026);

foreach ([0, 300, 1000, 2000] as $offset) {
    $ok = checkTimeout($session, $start + $offset);
    printf("%s  %s  user_id=%s\n",
        date('H:i:s', $start + $offset),
        $ok ? 'active ' : 'expired',
        $session['user_id'] ?? 'none');
}

Khoảng cách từ 09:05 đến 09:16:40 là 700 giây, dưới giới hạn 15 phút, nên người dùng vẫn đăng nhập. Khoảng cách tiếp theo là 1000 giây, nên session bị xóa.

Flash message

Flash message là thông báo được đặt ở một request và hiện đúng một lần ở request tiếp theo, thường là "Đã lưu." sau khi chuyển hướng. Lưu nó trong session, rồi đọc và xóa nó trong cùng một bước:

<?php
function flash(array &$session, ?string $message = null): ?string
{
    if ($message !== null) {
        $session['flash'] = $message;   // set it
        return null;
    }
    $message = $session['flash'] ?? null;
    unset($session['flash']);           // read it once
    return $message;
}

$session = [];
flash($session, 'Your profile was saved.');       // request 1: POST, then redirect

echo flash($session) ?? '(no message)', "\n";     // request 2: the page after the redirect
echo flash($session) ?? '(no message)', "\n";     // request 3: a refresh

Đặt cookie với setcookie

setcookie() nhận tên, giá trị và một mảng tùy chọn (từ PHP 7.3 trở đi). Hãy đặt bốn tùy chọn này cho mọi cookie, trừ khi bạn có lý do để không làm vậy:

<?php
setcookie('theme', 'dark', [
    'expires'  => time() + 60 * 60 * 24 * 30,   // 30 days; 0 means "until the browser closes"
    'path'     => '/',                          // send it on every page, not just this folder
    'secure'   => true,                         // only over HTTPS
    'httponly' => true,                         // JavaScript cannot read it
    'samesite' => 'Lax',                        // not sent on most cross-site requests
]);

$theme = $_COOKIE['theme'] ?? 'light';

Có hai điều hay khiến người mới vấp:

• $_COOKIE không thay đổi trong cùng một request. Nó chứa những gì trình duyệt đã gửi kèm request này. Cookie bạn đặt bây giờ chỉ xuất hiện trong $_COOKIE ở request tiếp theo.
• Cookie là header, nên setcookie() phải chạy trước mọi đầu ra, giống hệt session_start() và header().

Để xóa một cookie, đặt lại nó với cùng tên và path cùng thời điểm hết hạn trong quá khứ: setcookie('theme', '', ['expires' => time() - 3600, 'path' => '/']).

Lưu một mảng trong cookie

Giá trị cookie là một chuỗi tối đa khoảng 4 KB, nên hãy lưu dữ liệu có cấu trúc dưới dạng JSON, và coi những gì nhận lại là không đáng tin: người xem có thể thay đổi nó. Không bao giờ unserialize() một cookie: hàm này có thể tạo đối tượng từ các lớp của bạn và chạy các magic method của chúng, trong khi json_decode() chỉ trả về mảng, chuỗi, số, boolean, null hoặc stdClass.

<?php
$recent = ['php/foreach', 'php/explode', 'php/date'];

$value = json_encode($recent);          // what you would pass to setcookie()
echo $value, ' (', strlen($value), " bytes)\n";

// On the next request, $_COOKIE['recent'] holds that string. Decode and check it:
$cookie = '["php/foreach","php/explode","php/date"]';
$decoded = json_decode($cookie, true);
$list = is_array($decoded) ? array_filter($decoded, 'is_string') : [];
print_r($list);

// A tampered cookie is just bad input:
$decoded = json_decode('{"admin":true', true);
var_dump($decoded);

Trang json_encode giải thích các cờ. Với bất cứ thứ gì lớn hơn vài giá trị ngắn, hãy giữ dữ liệu trong session (hoặc cơ sở dữ liệu) và chỉ lưu một khóa trong cookie.

Token "ghi nhớ đăng nhập"

Cookie "ghi nhớ đăng nhập" không được chứa id người dùng hay hash mật khẩu. Hãy lưu một token ngẫu nhiên dài trong cookie và chỉ lưu hash của nó trong cơ sở dữ liệu, rồi so sánh bằng hash_equals():

<?php
// At login, with "remember me" ticked
$token = bin2hex(random_bytes(32));      // goes in the cookie
$stored = hash('sha256', $token);        // goes in the database, next to the user id

echo 'cookie:   ', $token, "\n";
echo 'database: ', $stored, "\n";

// On a later visit, the browser sends the token back
$fromCookie = $token;
var_dump(hash_equals($stored, hash('sha256', $fromCookie)));
var_dump(hash_equals($stored, hash('sha256', 'guessed-token')));

Các giá trị thay đổi sau mỗi lần chạy, vì random_bytes() là ngẫu nhiên. Nếu cơ sở dữ liệu bị lộ, các hash vô dụng khi không có cookie, và hash_equals() so sánh trong thời gian không đổi nên phép kiểm tra không làm lộ thông tin về thời gian.

Session hay cookie: nên dùng cái nào

Lỗi thường gặp: headers already sent

session_start(), setcookie() và header() đều gửi header HTTP, mà header chỉ gửi được trước phần nội dung. Bất kỳ đầu ra nào trước đó, kể cả một dòng trống trước <?php trong một tệp được include, đều gây ra:

Warning: session_start(): Session cannot be started after headers have already been sent in /var/www/page.php on line 3
Warning: Cannot modify header information - headers already sent by (output started at /var/www/page.php:2) in /var/www/page.php on line 4

Thông báo thứ hai cho biết đầu ra bắt đầu ở đâu (page.php:2): đến dòng đó và bỏ phần đầu ra đi, hoặc chuyển session_start() lên trên nó. Trong những tệp chỉ chứa PHP, bỏ thẻ đóng ?> sẽ tránh được khoảng trắng thừa phía sau nó trở thành đầu ra.