Для чего нужны сессии в PHP?

Question

Для чего нужны сессии в PHP?

Тип вопроса: PHP Core Вероятность: 24% Категория: PHP Разработчик

Ответ

Сессии в PHP решают проблему отсутствия состояния (stateless) у HTTP-протокола. Они позволяют сохранять данные, относящиеся к конкретному пользователю, между его запросами. Без сессий каждый запрос был бы полностью независимым.

Основные сценарии моего использования:

Аутентификация пользователя. После логина я сохраняю в $_SESSION['user_id'] идентификатор, который проверяю на каждой защищённой странице.
Корзина покупок. Пока пользователь не оформил заказ, товары хранятся в сессии.
Одноразовые сообщения (Flash-сообщения). Например, «Заказ успешно создан» — сохраняю в сессии после редиректа и удаляю после первого отображения.

Пример реализации простой аутентификации:

// login.php
session_start();
if ($credentialsAreValid) {
    $_SESSION['authenticated'] = true;
    $_SESSION['user_id'] = $userId;
    // Регенерация ID для защиты от фиксации сессии
    session_regenerate_id(true);
}

// dashboard.php
session_start();
if (empty($_SESSION['authenticated'])) {
    header('Location: /login.php');
    exit;
}
// Пользователь аутентифицирован, показываем дашборд
$currentUserId = $_SESSION['user_id'];

Важные технические детали из моего опыта:

По умолчанию данные сессии хранятся в файлах на сервере (session.save_handler = files). В production я настраиваю хранение в Redis для скорости и удобства масштабирования.
Критически важно управлять идентификатором сессии (session ID). Я всегда использую session_regenerate_id(true) после логина для предотвращения атак.
Для безопасности также настраиваю session.cookie_secure и session.cookie_httponly в php.ini.

Ответ 18+ 🔞

А, ну это же классика, ёпта! PHP-сессии — это как раз тот самый костыль, который придумали, потому что HTTP сам по себе — абсолютный беспамятный овощ. Каждый запрос приходит, будто в первый раз, нихуя не помнит. Представь: зашёл ты на сайт, авторизовался, а перешёл на другую страницу — и тебя уже не узнали, опять логин просят. Пиздец, да? Так вот сессии эту дичь и лечат.

Где я их обычно применяю, пока не накрылся медным тазом:

Чтобы пользователя помнить. Самый частый случай — авторизация. Залогинился чувак, я ему в $_SESSION['user_id'] пихнул его айдишник. И теперь на каждой странице, где нужен доступ, просто смотрю: есть эта запись в сессии или нет. Нет — иди нахуй, на логин. Есть — проходи, дружище.
Корзина в интернет-лавке. Пока чел шопится и не оформил заказ, все его выбранные товары тихо живут в сессии. Удобно же, не надо сразу в базу пихать.
Одноразовые уведомления (Flash-сообщения). Вот ты отправил форму, сделал редирект, а пользователю надо показать «Заказ создан, красава!». Сохраняешь это сообщение в сессии, показываешь на следующей странице и сразу удаляешь, чтобы не торчало, как манда с ушами, при каждом обновлении.

Вот смотри, как выглядит простейшая проверка авторизации, чтоб ты понимал масштаб:

// login.php — тут логинимся
session_start();
if ($credentialsAreValid) { // если логин/пароль сошлись
    $_SESSION['authenticated'] = true;
    $_SESSION['user_id'] = $userId;
    // А это важный момент! Меняем ID сессии, чтобы никто не прицепился к старой.
    session_regenerate_id(true);
}

// dashboard.php — а тут уже защищённая страница
session_start();
if (empty($_SESSION['authenticated'])) {
    // Если не авторизован — посылаем на логин
    header('Location: /login.php');
    exit;
}
// А если всё ок — работаем, бля
$currentUserId = $_SESSION['user_id'];

А теперь технические нюансы, на которых я, бывало, обжигался, ебать мои старые костыли:

Хранение: По дефолту PHP пишет сессии в файлы на сервере. Это для маленьких проектов сойдёт, но если народу приходит овердохуища — всё начинает тормозить. В продакшене я всегда перевожу это дело в Redis. Быстро, надёжно, и несколько серверов могут легко делиться сессиями.
Безопасность: С ID сессии надо быть осторожным, как с гранатой. Всегда после важных действий (логин, смена прав) делай session_regenerate_id(true). Это убивает старую сессию и даёт новую, чтобы никакой пидарас шерстяной не подсунул свой украденный ID.
Куки: В настройках php.ini обязательно выставляй session.cookie_secure (чтобы кука передавалась только по HTTPS) и session.cookie_httponly (чтобы к этой куке не было доступа из JavaScript). Иначе — вы ходите по охуенно тонкому льду, ребята.

Вот, вкратце, вся магия. Без этого — ни твой сайт, ни твое веб-приложение нихуя не будут работать так, как ожидают пользователи.