什么是 cookie 和会话，它们是如何相互关联的？

Posted 2023-02-22

【中文标题】什么是 cookie 和会话，它们是如何相互关联的？

【英文标题】：What are cookies and sessions, and how do they relate to each other?

【发布时间】：2012-06-23 23:11:46

【问题描述】：

我正在尝试专业地理解 cookie 和会话。 我知道，当浏览器连接到服务器时，服务器“要求”浏览器在客户端浏览器 cookie 文件夹中“粘贴”带有“phpsessid”的 cookie。

现在我们有了“phpsessid”，如果客户端进入服务器，浏览器会向服务器发送“phpsessid”，服务器会查看 tmp 文件夹，如果有匹配项，它会加载所有数据用户有这个客户，但我对这个过程有点困惑。

如果有人能帮助我了解创建会话和 cookie 的过程 - 幕后发生的事情，我将不胜感激。

【问题讨论】：

看来您已经知道发生了什么。您希望在哪个特定部分得到启发？ HTTP/cookie 部分，或者 PHP 如何加载会话存储？

浏览器用phpsessid保存的cookie，这个phpsessid是用来标识客户端创建会话和cookie的吗？

浏览器的cookie包含php会话ID，它告诉服务器“嘿，我知道这个小伙子”，然后服务器抓取会话数据（例如来自/tmp/）并恢复用户$_SESSION

是的，我知道，但我想问的是，这个“phpsessid”是否用于在创建会话和 cookie 之前识别客户端，这个 phpsessid 是否包含在 cookie 数据和客户端计算机内部以及内部服务器 tmp 文件夹中的会话文件？

【参考方案1】：

让我们来看看这个：

Cookies 和 sessions 都是在浏览器发出的不同请求之间保留应用程序状态的两种方式。多亏了他们，例如，您不必每次在 *** 上请求页面时都登录。

Cookies

Cookie 是一小段数据（最长为 4KB），将数据保存在键值对中：

name=value; name2=value2

这些由 JavaScript 设置，或通过服务器使用 HTTP header 设置。

Cookie 设置了过期日期时间，例如使用 HTTP 标头：

Set-Cookie: name2=value2; Expires=Wed, 19 Jun 2021 10:18:14 GMT

这会导致浏览器设置一个名为name2 的cookie，其值为value2，该cookie 将在大约9 年后到期。

Cookie 被认为是高度不安全，因为用户可以轻松操纵其内容。这就是为什么您应该始终验证 cookie 数据。不要假设你从 cookie 中得到的一定是你所期望的。

Cookies 通常用于保存登录状态，其中用户名和特殊哈希从浏览器发送，服务器会根据数据库检查它们以批准访问。

Cookie 也经常用于创建会话。

会话

会话略有不同。每个用户都会获得一个会话 ID，该 ID 会通过 cookie 或 GET 变量 发送回服务器进行验证。

会话通常是短暂的，这使得它们非常适合保存应用程序之间的临时状态。一旦用户关闭浏览器，会话也会过期。

会话被认为比 cookie 更安全，因为变量本身保存在 服务器上。以下是它的工作原理：

服务器打开会话（通过 HTTP 标头设置 cookie） 服务器设置会话变量。 客户端更改页面 客户端发送所有 cookie 以及步骤 1 中的会话 ID。 服务器从 cookie 中读取会话 ID。 服务器匹配数据库（或内存等）列表中的会话 ID。 服务器找到匹配项，读取现在在$_SESSION superglobal 上可用的变量。

如果 PHP 没有找到匹配项，它将启动一个新会话，并重复 1-7 的步骤。

您可以在会话中存储敏感信息，因为它保存在服务器上，但请注意，如果用户（比方说）通过不安全的 WiFi 登录，会话 ID 仍然可能被盗。 （攻击者可以嗅探cookie，并将其设置为自己的，他不会看到变量本身，但服务器会将攻击者识别为用户）。

---

这就是它的要点。您可以在这两个主题的 PHP 手册中了解更多信息。

【讨论】：

那么这是否意味着必须打开 cookie 才能使会话正常工作？

@Edmund：在大多数情况下，是的。但是，您可以将其设置为通过 GET 变量传输会话 ID（这意味着需要将 session_id 附加到每个页面 (hello.php?sid=cbe709ac7bed98f7ecb89713)

@SurajJain 如果不是“记住我”cookie，它会持续更长时间。

其他问题：当用户关闭浏览器时，服务器如何得到这个事件的通知，以便服务器删除这个会话ID？还是会在一段时间后自动过期？

在 2021 年看到这个，我很困惑为什么你说它会再活跃 9 年