PHP: Session与登录

Cookie：                    Session：
只存 Session ID           存储实际数据（用户名、权限、购物车...）
┌──────────┐              ┌─────────────────────┐
│ PHPSESSID│ ──匹配──→   │ user: 小明           │
│ abc123   │              │ login: true          │
└──────────┘              │ cart: [3件商品]      │
  在浏览器                  │ role: admin          │
                           └─────────────────────┘
                              在服务器

<?php
// session 必须在任何 HTML 输出之前启动
session_start();

// 存储数据
$_SESSION['username'] = "小明";
$_SESSION['login_time'] = date("Y-m-d H:i:s");

// 读取数据
echo "欢迎，{$_SESSION['username']}！";
echo "登录时间：{$_SESSION['login_time']}";
?>

<?php
session_start();

// 存储任何 PHP 数据类型
$_SESSION['user'] = [
    'id'   => 101,
    'name' => '小明',
    'role' => 'member'
];
$_SESSION['cart'] = [
    ['name' => 'PHP教程', 'price' => 39.90, 'qty' => 2],
    ['name' => 'MySQL入门', 'price' => 29.90, 'qty' => 1],
];

// 读取
echo $_SESSION['user']['name'];  // 小明

// 删除某个 Session 变量
unset($_SESSION['cart']);

// 修改
$_SESSION['user']['role'] = 'admin';
?>

<?php
session_start();

// 初始化购物车
if (!isset($_SESSION['cart'])) {
    $_SESSION['cart'] = [];
}

// 添加商品
if (isset($_POST['add'])) {
    $item = $_POST['add'];
    $_SESSION['cart'][$item] = ($_SESSION['cart'][$item] ?? 0) + 1;
}

echo "<h3>购物车</h3>";
foreach ($_SESSION['cart'] as $item => $qty) {
    echo "{$item} × {$qty}<br>";
}
?>
<form method='POST'>
    <button name='add' value='PHP教程'>加入 PHP教程</button>
    <button name='add' value='MySQL入门'>加入 MySQL入门</button>
</form>

<?php
// login.php — 登录系统
session_start();

// 预定义的测试用户（实际项目中存在数据库）
$users = [
    'admin' => '123456',
    'xiaoming' => 'password123',
];

$error = '';

// 已登录？跳转到首页
if (isset($_SESSION['user'])) {
    header("Location: profile.php");
    exit;
}

// 处理登录请求
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $username = trim($_POST['username'] ?? '');
    $password = $_POST['password'] ?? '';

    if (isset($users[$username]) && $users[$username] === $password) {
        // 验证通过：存入 Session
        $_SESSION['user'] = [
            'username'    => $username,
            'login_time'  => date("Y-m-d H:i:s"),
            'last_active' => time(),
        ];
        
        // 登录成功，跳转到个人信息页
        header("Location: profile.php");
        exit;
    } else {
        $error = "用户名或密码错误";
    }
}
?>

<h3>用户登录</h3>
<?php if ($error): ?>
    <p style="color:red"><?= htmlspecialchars($error) ?></p>
<?php endif; ?>

<form method="POST" action="">
    <p>
        <label>用户名：</label>
        <input type="text" name="username" required>
    </p>
    <p>
        <label>密码：</label>
        <input type="password" name="password" required>
    </p>
    <button type="submit">登录</button>
</form>
<p style="color:#888">测试账号：admin / 123456</p>

<?php
// profile.php — 个人中心（需要登录）
session_start();

// 未登录？跳转到登录页
if (!isset($_SESSION['user'])) {
    header("Location: login.php");
    exit;
}

$user = $_SESSION['user'];
?>

<h2>个人中心</h2>
<p>用户名：<?= htmlspecialchars($user['username']) ?></p>
<p>登录时间：<?= $user['login_time'] ?></p>

<a href="logout.php">退出登录</a>

<?php
// logout.php
session_start();

// 方式 1：只清除用户数据
unset($_SESSION['user']);

// 方式 2：完全清空 Session
session_unset();    // 清空 $_SESSION 数组
session_destroy();  // 删除服务器端 Session 文件

// 跳转到登录页
header("Location: login.php");
exit;
?>

用户首次访问 → PHP 创建 Session 文件（如 sess_abc123）
                ↓
          存入 $_SESSION 数据
                ↓
          发 Cookie: PHPSESSID=abc123 给浏览器
                ↓
下次访问 → 浏览器带上 PHPSESSID=abc123
                ↓
          PHP 找到 sess_abc123 文件，加载数据到 $_SESSION
                ↓
... 用户离开（关闭浏览器或不活动很久之后） ...
                ↓
垃圾回收机制 → 删除过期 Session 文件

<?php
// 在 session_start() 之前配置
ini_set('session.cookie_httponly', 1);  // JS 不可读（防 XSS）
ini_set('session.cookie_secure', 1);    // 仅 HTTPS（生产环境必须）
ini_set('session.cookie_samesite', 'Lax');  // 防 CSRF
ini_set('session.use_strict_mode', 1);  // 拒绝未初始化的 Session ID

session_start();
?>