- 本文地址: https://www.laruence.com/2012/01/10/2469.html
- 转载请注明出处
今天在我的微博(Laruence)上发出一个问题:
我在面试的时候, 经常会问一个问题: "如何设置一个30分钟过期的Session?", 大家不要觉得看似简单, 这里面包含的知识挺多, 特别适合考察基本功是否扎实, 谁来回答试试? 呵呵
为什么问这个问题呢? 1. 我在Twitter上看到了有人讨论这个问题, 2 想起来我经常问这个问题, 所以~~
在这里, 我来解答下这个题目.
第一种回答
那么, 最常见的一种回答是: 设置Session的过期时间, 也就是session.gc_maxlifetime, 这种回答是不正确的, 原因如下:
1. 首先, 这个PHP是用一定的概率来运行session的gc的, 也就是session.gc_probability和session.gc_divisor(介绍参看 深入理解PHP原理之Session Gc的一个小概率Notice), 这个默认的值分别是1和100, 也就是有1%的机会, PHP会在一个Session启动时, 运行Session gc. 不能保证到30分钟的时候一定会过期.
2. 那设置一个大概率的清理机会呢? 还是不妥, 为什么? 因为PHP使用stat Session文件的修改时间来判断是否过期, 如果增大这个概率一来会降低性能, 二来, PHP使用"一个"文件来保存和一个会话相关的Session变量, 假设我5分钟前设置了一个a=1的Session变量, 5分钟后又设置了一个b=2的Seesion变量, 那么这个Session文件的修改时间为添加b时刻的时间, 那么a就不能在30分钟的时候, 被清理了. 另外还有下面第三个原因.
3. PHP默认的(Linux为例), 是使用/tmp 作为Session的默认存储目录, 并且手册中也有如下的描述:
Note: 如果不同的脚本具有不同的 session.gc_maxlifetime 数值但是共享了同一个地方存储会话数据，则具有最小数值的脚本会清理数据。此情况下，与 session.save_path 一起使用本指令。
也就是说, 如果有俩个应用都没有指定自己独立的save_path, 一个设置了过期时间为2分钟(假设为A), 一个设置为30分钟(假设为B), 那么每次当A的Session gc运行的时候, 就会同时删除属于应用B的Session files.
所以, 第一种答案是不"完全严格"正确的.
第二种答案
还有一种常见的答案是: 设置Session ID的载体, Cookie的过期时间, 也就是session.cookie_lifetime. 这种回答也是不正确的, 原因如下:
这个过期只是Cookie过期, 换个说法这点就考察Cookie和Session的区别, Session过期是服务器过期, 而Cookie过期是客户端(浏览器)来保证的, 即使你设置了Cookie过期, 这个只能保证标准浏览器到期的时候, 不会发送这个Cookie(包含着Session ID), 而如果通过构造请求, 还是可以使用这个Session ID的值.
第三种答案
使用memcache, redis等, okey, 这种答案是一种正确答案. 不过, 很显然出题者肯定还会接着问你, 如果只是使用PHP呢?
第四种答案
当然, 面试不是为了难道你, 而是为了考察思考的周密性. 在这个过程中我会提示出这些陷阱, 所以一般来说, 符合题意的做法是:
1. 设置Cookie过期时间30分钟, 并设置Session的lifetime也为30分钟.
2. 自己为每一个Session值增加Time stamp.
3. 每次访问之前, 判断时间戳.
最后, 有同学问, 为什么要设置30分钟的过期时间: 这个, 首先这是为了面试, 第二, 实际使用场景的话, 比如30分钟就过期的优惠劵?
thanks 🙂
[…] 本文地址: https://www.laruence.com/2012/01/10/2469.html […]
[…] 关于php的会话控制，我有惨痛的回忆┭┮﹏┭┮，而且还是两次。第一次是我在写博客的时候，当时花了很长时间再写，当我写完并检查后，点击了保存，我勒个去，直接跳转到登录页面，点返回也返回不了，辛苦全白瞎了。另外一次是面试的时候，面试官问我如何去保证session在1个小时后一定过期。当时我的答案是设置gc_maxlifetime设置为3600。当时面试的人说，回答的不对，这样不能保证1小时后肯定失效。当然他也没和我说原因。回到家后，我觉得必须要把这个问题搞清楚。去搜索下，搜索了鸟哥的博客里有一篇刚好讲这个的。我估计面试官之前也是看过这篇文章的。文章地址贴出来：https://www.laruence.com/2012/01/10/2469.html […]
What is Download Alexa App? How does Alex App Download Functions?
An amazon Alexa App Download is one of the best Alexa enabled devices that helps for better user-experience coming to setup Alexa App. You can simply get up your smart devices, check status of smart lights, asking weather updates, tracking courier and much more. It supports in automating home devices by interconnection with family and friends. You can also organize to-do-list tasks and view live weather updates for alarms and shopping.
Download Alexa App
Now easily connect your device with Alexa App for the services which you want to use likewise Pandora, Music and play them on Alexa Devices.
Ask anything from Alexa what you want:
Alexa App is always regarded to try up with Alexa app for Android. You can always be ready to work up with few Alexa commands.
[…] 如何设置一个严格30分钟过期的Session | 风雪之隅 […]
原来是鸟哥的博客
第四种答案
当然, 面试不是为了难道你, 而是为了考察思考的周密性.
难道你，改成难为你更合适呢？哈哈，我的偶像！！！
[…] I recommend you to have a look.@LaruenceGreat Spirit’s ArticlesHow to set up a strictly 30-minute expired Session […]
[…] 如何设置一个严格30分钟过期的Session php会话(session)生命周期概念介绍及设置更改和回收 […]
[…] 思考问题 如何设置一个严格30分钟过期的Session? PHP系列, 服务器端系列, 程序设计实战 SESSION, […]
[…] 如何设置一个严格30分钟过期的Session 点击这里取消回复。 […]
上面说的很是在理，但是其实我们需要一个简单的答案，鸟哥却把答案说太复杂了。
其实严格30分钟过期时间并不需要服务器端清除Session小文本文件，可以通过文件的访问时间和修改时间来判断，即使服务器的文件还存在，一样是一个无效的文件，所以简单的设置session的失效时间30分钟，其实就是一条语句的问题，跟客户端的cookie没有关系。
个人理解，如果说得有问题，希望鸟哥和大家批评指正
我说这篇文章讲的真好！透彻！清晰。
一看域名原来是鸟哥。
IWC（時計）FRANCK MULLER（時計） HUBLOT（時計）クロエ CHLOE バッグなどです。ご不明点が ございましたらお気軽にお問い合わせください
シャネル時計 定価 500 http://www.gowatchs.com/brand-237.html
受教 =。=
不谢！
鸟哥，问一下，有没有办法仅用PHP来判断一个SESSION是否还有效。场景是这样的，如果用户离开这个网站或者关闭浏览器，将用户的登录状态设置为下线。Ajax的方式已经考虑过了，有没有只用PHP就能解决的方式咧？
过来学习
[…] 如何设置一个严格30分钟过期的Session […]
[…] ps:我的问题没有考虑到为每个session的值设独立过期时间问题； —————————————————————————————————————————————————— ↓ 解决方案 ↓ 推荐你看看 @Laruence 大神的文章 如何设置一个严格30分钟过期的Session […]
[…] 如何设置一个严格30分钟过期的Session 回复4楼 – xuzuning： […]
一遍 没看懂，多看几遍，表示很有用。。
[…] 如何设置一个严格30分钟过期的Session […]
[…] 36:如何设置一个严格30分钟过期的Session […]
2. 自己为每一个Session值增加Time stamp.
re:
请大侠就上面的文字写一行代码让俺见见什么叫“自己为每一个Session值增加Time stamp.”
我在这里(http://lab.yqc.im/php-session-expiration-time-set.html)看到一个方法，
设置session对应的cookie(默认PHPSESSID)的过期时间，
如果下次访问没有PHPSESSID即过期，如果有，更新它的过期时间。
[…] 如何设置一个严格30分钟过期的Session […]
[…] 文章来源：http://www.laruence.com/2012/01/10/2469.html 返回 […]
[…] 4:如何设置一个严格30分钟过期的Session […]
[…] 转载自：http://www.laruence.com/2012/01/10/2469.html 返回 […]
[…] 4:如何设置一个严格30分钟过期的Session […]
[…] 作者地址: http://www.laruence.com/2012/01/10/2469.html 版权信息：8090社团>>如何设置一个严格30分钟过期的Session本文链接：http://www.liaolz.com/index.php/archives/33 转载请注明出处.如果喜欢：点此订阅本站 7K tohilary 查看Ta的专栏 关于本文小编 各种观点 […]
[…] 本文地址: http://www.laruence.com/2012/01/10/2469.html […]
写入数据库数量大了，数据库压力也很大，，求第三中方法的深入教程，，鸟个
session存到数据库，这样是不是不能设置过期时间
不根据session文件的创建时间来判断是必需的. 因为session本身的主要职责就是维持这个会话的活动性. 他的本意就是只要这个会话在我规定的时间段内有一次活动那他就是活得. 如果从创建时间算起. 那上面的这个主要职责就被推翻了.
一般不会把session存在实体文件里面. 多服务器之间这是个大问题. 多数的做法是直接使用cookie. 或者把session的处理设置到memcache之类的分布式载体上. 既然自定义了php的session处理函数. 那这个题目就easy了. 我的地盘我做主..
2. 那设置一个大概率的清理机会呢? 还是不妥, 为什么? 因为PHP使用stat Session文件的修改时间来判断是否过期
如果Session文件在创建后又被修改了，那Session的过期时间从这个修改时间段算起？好怪异，为什么不从创建时间算起。
[…] http://www.laruence.com/2012/01/10/2469.html 此条目由 admin 发表在 php 分类目录，并贴了 php、session […]
您的第三种方法，跟使用缓存时，是缓存主动过期很相似，看来编程思想很重要啊
我一般用第三种方案，对用第四种方案，个人认为可以解决问题，仅仅是可以解决问题而已～～
good!
鸟哥太淫荡啦
非常好的文章哦，博主加油！
[…] 来源：http://www.laruence.com/2012/01/10/2469.html […]
第三种答案求深入
[…] 来源：http://www.laruence.com/2012/01/10/2469.html 第一种回答 […]
[…] 原文地址: http://www.laruence.com/2012/01/10/2469.html […]
实际的应用场景如果需要严格过期的话，应该不会用session机制把？
session.gc_maxlifetime既然不能严格控制session的过期时间，这算不算bug？我的愚建是既然有个这样的配置就应该保证这个配置对应的功能能起到确定的作用。
为什么我觉得第一种回答的第一点不成立呢。那个设置是gc，垃圾回收，并非是没被回收的session文件不会过期。PHP的session默认的file引擎在读取session文件前还是会判断文件最后修改时间的，如果超出session.gc_maxlifetime就不会读取这个session文件
好吧.. 我的第一反应就是session中存时间戳.. 如果session中变量需要设置过期.. 那就为变量添加时间戳….
貌似这个方法最可靠了~~
使用内存缓存之类的… 是使用它们替换session存储位置?
那同样没有设置过期时间的地方… 只能再此基础上封装成类.. 在方法中添加过期时间. 传递给redis.. 而这样.. 就跟添加时间戳没区别了…
第一回答 php.ini 修改 至于修改那里 不记得要回去查下
第二 要严格的 我会考虑写进数据库
引用部分的那个歪字体看起来十分费劲。
好东西啊。学习了。。
应该是stackoverflow吧
好吧。学习了。
thanks