Почему бы не использовать встроенную обработку сессии PHP?
Есть ли в настоящее время - или там когда-либо был - какая-либо серьезная или значительная проблема со встроенной обработкой сессии PHP?
Я имею в виду, это всегда работало на меня и мои проекты.
Но я вижу некоторые кодовые базы, и платформы там, кажется, используют пользовательский обработчик. Это изобретает велосипед? Или изменение к лучшему некоторых дефектов? Какие дефекты?
5 ответов
Есть ли в настоящее время - или были ли когда-либо - какие-либо серьезные или существенные проблемы с обработкой встроенного сеанса PHP ?
Нет проблем со встроенным в обработчиках. Доступ и удаление старых файлов сессий реализованы хорошо.
Это изобретение велосипеда? Или исправляете некоторые недостатки? Какие недостатки?
Обработка сеансов на основе файлов отлично работает для веб-сайтов с одним сервером. Проблемы могут возникнуть, когда приложения необходимо запускать на нескольких серверах (горизонтально). Основная база данных может использоваться для хранения и предоставления информации о сеансе на нескольких серверах. Это может упростить задачу при масштабировании приложения. Пользовательские обработчики сеансов могут использоваться для взаимодействия с базой данных.
Одним из основных преимуществ переопределения поведения сеанса является возможность сохранения информации о сеансе в базе данных. Когда это сочетается с аутентификацией пользователей, это может стать мощным инструментом.
Это действительно открывает совершенно новый набор возможностей:
- Создание инструментов управления сеансами для администраторов сайтов
- Журнал аудита данных сеанса пользователя.
- Возможность блокировки учетной записи пользователя и легкого отключения активных сеансов
- и т. д.
Сеансы могут быть только до определенного размера нет?
Причиной для развертывания ваших собственных обработчиков сеансов может быть реализация системы единого входа или совместного использования сеанса с другими приложениями (= проверка сеансов Java / CF / любым другим приложением).
Плюсы и минусы встроенного обработчика сеансов PHP
Плюсы:
- Простота использования (просто используйте
session_start (), и все готово) - Доступен OOTB.
- Простота использования (просто используйте
Минусы:
- Для распознавания пользователя используется только файл cookie SESSID (или SID , SESSIONID и т. Д.). Это немного, и эту информацию можно легко украсть с помощью XSS-атак или чего-то подобного.
- В большинстве случаев вы не можете делать такие вещи, как общее количество активных сеансов (часто используется в функциях Кто в сети? )
Плюсы и минусы вашего собственного обработчика сеансов
Плюсы:
- Работает так, как вы хотите.
- Полный контроль над тем, как вы узнаете пользователей. Вы можете использовать cookie, IP-адрес, подпись браузера, чтобы убедиться, что кража сеанса невозможна (или, по крайней мере, это намного сложнее).
- Вы можете выбрать место, где будут храниться данные сеанса (база данных / файловая система).
- У вас есть контроль над механизмом сеанса в целом
Минусы:
- Вам нужно потратить несколько минут, чтобы создать такой обработчик