php会话管理通过Cookie和Session实现，二者协同使用更安全。session存储敏感信息于服务器，通过唯一id关联，而cookie保存该id于客户端。步骤：1. 使用session_start()启动会话；2. 通过$_session设置或读取变量；3. 用session_destroy()销毁会话；4. setcookie()设置含session id的cookie；5. $_cookie读取cookie；6. 删除cookie则设过期时间为过去。安全性上应启用https、定期更换session id、验证用户ip与user-agent、设置httponly与secure属性，并配置samesite限制跨站访问，以防止session劫持。
PHP会话管理，简单来说，就是服务器记住你，或者说，记住你的状态。Cookie和Session是实现这个目标的两大利器，但它们的工作方式和适用场景却大相径庭。Cookie像是一个贴在你身上的标签，浏览器会保存它，每次访问网站都会带着这个标签；Session则更像是一个服务器端的备忘录，只保存你的ID，然后通过这个ID来查找你的信息。
解决方案
Cookie和Session结合使用，才能发挥最大威力。一般来说，我们会用Session来保存用户的敏感信息，比如用户名、用户ID等，然后将Session ID保存在Cookie中。这样，浏览器只需要记住一个简单的ID，所有重要的数据都保存在服务器端，安全性更高。
立即学习“PHP免费学习笔记（深入）”；
使用Session的步骤：
- session_start()：启动会话。这会在服务器上创建一个新的会话，或者恢复一个已存在的会话（如果Cookie中包含Session ID）。
- $_SESSION[‘username’] = ‘john_doe’;：设置会话变量。你可以将任何需要保存的数据存储在$_SESSION数组中。
- echo $_SESSION[‘username’];：读取会话变量。
- session_destroy()：销毁会话。这会清除服务器上的会话数据。
使用Cookie的步骤：
- setcookie(‘session_id’, session_id(), time() + 3600);：设置Cookie。这个例子中，我们将Session ID保存在名为session_id的Cookie中，并设置过期时间为1小时。
- $_COOKIE[‘session_id’]：读取Cookie。
- setcookie(‘session_id’, ”, time() – 3600);：删除Cookie。将过期时间设置为过去的时间即可。
安全性方面，务必对Session ID进行保护，防止Session劫持。可以使用https协议加密Cookie传输，定期更换Session ID，并验证用户的IP地址和User-Agent。
如何选择Cookie和Session？
选择Cookie还是Session，取决于你想要存储的数据类型和安全性要求。如果只需要保存一些不敏感的信息，比如用户的偏好设置，可以使用Cookie。但如果需要保存用户的登录信息或者其他敏感数据，Session是更好的选择。
Cookie存储在客户端，容易被篡改，容量也有限制。Session存储在服务器端，安全性更高，容量也更大。但Session会占用服务器资源，过多的Session可能会影响服务器性能。
Session过期时间如何设置？
Session的过期时间可以通过两种方式设置：
- 配置php.ini文件中的session.gc_maxlifetime参数。这个参数设置了Session数据的最大生存时间，单位是秒。
- 在代码中使用session_set_cookie_params()函数。这个函数可以设置Session Cookie的参数，包括过期时间。
例如：
session_set_cookie_params(3600); // 设置Session Cookie的过期时间为1小时 session_start();
需要注意的是，即使设置了Session的过期时间，Session数据也可能因为服务器的垃圾回收机制而被提前删除。因此，最好在代码中定期检查Session是否有效，如果无效则重新登录。
如何防止Session劫持？
Session劫持是指攻击者获取了用户的Session ID，从而冒充用户登录网站。为了防止Session劫持，可以采取以下措施：
- 使用HTTPS协议加密Cookie传输，防止Session ID被窃取。
- 定期更换Session ID。可以使用session_regenerate_id()函数生成一个新的Session ID。
- 验证用户的IP地址和User-Agent。如果IP地址或User-Agent发生变化，则认为Session可能被劫持，需要重新登录。
- 使用HttpOnly Cookie。HttpOnly Cookie只能通过HTTP协议访问，不能通过JavaScript访问，可以防止xss攻击窃取Session ID。
- 设置Cookie的Secure属性。Secure Cookie只能通过HTTPS协议传输，可以防止中间人攻击窃取Session ID。
session_set_cookie_params([ 'secure' => true, 'httponly' => true, 'samesite' => 'Strict' // or 'Lax' depending on your needs ]); session_start();
samesite属性可以设置为Strict或Lax，进一步限制Cookie的跨站访问，增强安全性。
