37.4. 全局会话管理

当第一个会话命名空间被请求时，Zend_Session就会自动启动PHP会话，除非已经和Zend_Session::start()一起启动了。内部PHP的会话将会按照Zend_Session的默认配置开启，除非先前调用过Zend_Session::setOptions()修改了配置。

设置会话配置选项，包括基本名（在"session."之后的名字部分）作为传递给Zend_Session::setOptions()的数组的键。数组里相应的值用来设置会话选项值。如果开发者没有设置选项，Zend_Session将首先使用推荐的缺省选项，接着就是缺省的php.ini设置。关于这些选项的最好实践的社区反馈应该发送到fw-auth@lists.zend.com。

; Accept defaults for production
[production]
; bug_compat_42
; bug_compat_warn
; cache_expire
; cache_limiter
; cookie_domain
; cookie_lifetime
; cookie_path
; cookie_secure
; entropy_file
; entropy_length
; gc_divisor
; gc_maxlifetime
; gc_probability
; hash_bits_per_character
; hash_function
; name should be unique for each PHP application sharing the same domain name
name = UNIQUE_NAME
; referer_check
; save_handler
; save_path
; serialize_handler
; use_cookies
; use_only_cookies
; use_trans_sid

; remember_me_seconds = <integer seconds>
; strict = on|off


; Development inherits configuration from production, but overrides several values
[development : production]
; Don't forget to create this directory and make it rwx (readable and modifiable) by PHP.
save_path = /home/myaccount/zend_sessions/myapp
use_only_cookies = on
; When persisting session id cookies, request a TTL of 10 days
remember_me_seconds = 864000
            

<?php
require_once 'Zend/Config/Ini.php';
$config = new Zend_Config_Ini('myapp.ini', 'development');

require_once 'Zend/Session.php';
Zend_Session::setOptions($config->toArray());
            

上述大多数选项没有做解释，因为可以在PHP的官方文档中找到他们的解释，但这些特定的事项在下面注释。

如果你看到错误信息，"Cannot modify header information - headers already sent" 或者 "You must call ... before any output has been sent to the browser; output started in ..."，那么仔细检查最近的和这信息有关联的原因（函数或方法）。任何请求发送HTTP头的动作，象发送一个cookie，必须在发送正常的输出（非缓冲输出）之前完成，除非使用PHP的输出缓冲。

简介：在基于ZF的应用程序中有关会话使用的问题，提倡使用浏览器的cookie是最佳的实践，而不是把会话的标识符跟在URL后面的方式来追踪用户。Zend_Session组件默认的只有cookie才能保持会话标识符。cookie的值是浏览器会话的唯一标识符。PHP内置的会话模块使用这个标识符以保持站点访问者与每个访问者的持久会话数据之间一对一的关系。Zend_Session组件包装了会话存储器（$_SESSION）并提供了一个面向对象的接口。不幸的是，如果攻击者能访问受害者的cookie值（会话标识符），攻击者就能劫持受害者的会话。这个问题不仅在PHP中存在，在Zend Framework中也存在。regenerateId()方法能使应用程序重新生成会话标识符（储存在访问者的cookie中），标识符为一个随机的、不可预计的值。注意：虽然“用户代理(user agent)”和“Web浏览器(web browser)”不相同，为了使得本章节更易读，我们使用的这两个术语可以互换。

为什么？：如果攻击者获得了受害者有效的会话标识符，攻击者就可能假扮成一个有效的用户（受害者），得到了访问机密信息或者操作受害者在你的应用程序中的数据。更新会话标识符有利于阻碍会话劫持的发生。如果会话标识符改变了，攻击者就不知道新的会话标识，也就不能用新的会话标识劫持受害者的会话了。即使攻击者能够访问旧的会话标识，regenerateId()将会话数据从旧的标识符下移到了新的标识符下，所以通过旧的会话标识符访问不到会话数据。

何时使用regenerateId()：在你的Zend框架程序引导文件中添加Zend_Session::regenerateId ()，以最安全的方式重新生成用户Web浏览器cookie中的会话标识符。如果不需要有条件的判定何时重新生成会话标识符，那么这样的方式就没什么缺陷。虽然在每个请求中重新生成会话标识预防了几种攻击的途径，但是不是每个请求需要这么做。因此，应用程序通常设法动态的确定在有较大风险的情况下，重新生成会话标识符。当站点的访问者权限上升时（比如，访问者在编辑你的个人信息前，要重新验证用户）或者敏感的会话参数发生改变时，可以考虑使用regenerateId()创建新的会话标识符。如果你调用了rememberMe()之后，就不需要调用regeneraterId()，因为前者已经调用了后者。如果用户成功登录了站点，调用rememberMe()方法来取代调用regenerateId()方法。

<?php
require_once 'Zend/Session/Namespace.php';
$defaultNamespace = new Zend_Session_Namespace();

if (!isset($defaultNamespace->initialized)) {
    Zend_Session::regenerateId();
    $defaultNamespace->initialized = true;
}
                

通常，用户代理结束时，会话也就结束了，比如当用户退出浏览器。然而，你的应用程序可能通过持久cookies的使用提供扩展用户会话超过客户端程序的生命期的能力。在会话被启动来控制在持久会话cookie过期之前时间的长度之前使用Zend_Session::rememberMe()。如果你没有指定秒数，那么会话cookie的生命期缺省为remember_me_seconds，它可以用Zend_Session::setOptions()来设置。为了帮助阻止会话固定/劫持，当用户成功地通过你的程序的认证，使用这个函数（例如，从一个“登录”表单）。

此函数补充了rememberMe()，当用户代理终止时，写入一个有结束生命期的会话cookie。

这个方法用来确定当前用户请求是否已经存在会话。这个方法可在会话开启之前使用，且这个方法独立于与Zend_Session和Zend_Session_Namespace的其他方法。

Zend_Session::destroy()，删除当前会话的所有数据。然而，PHP中的变量还未知情，所以你的会话命名空间（Zend_Session的实例）还是可读的。为了完成“登出”动作，设置可选的参数为true（缺省为true）来删除用户代理端的会话cookie。可选的$readonly参数删除了创建新的Zend_Session_Namespace实例和为Zend_Session方法写入会话数据存储的能力。

如果你看到错误信息"Cannot modify header information - headers already sent" ， 那么要么避免使用true 作为第一个参数（会话cookie的请求删除），要么参考第 37.4.2 节 “错误：Headers Already Sent” 。这样，Zend_Session::destroy(true) 一定要么在PHP发送HTTP头之前被调用，要么输出缓冲被允许。并且，为防止触发在调用destroy()之前发送输出，输出发送的总数不能超过缓冲的大小。

	Throws
	缺省地，$readonly是被激活的，之后写会话数据的动作，将会抛出一个异常。

这个方法只是更改了Zend_Session中的一个标志位，以阻止之后向会话数据存储器中写数据。我们特别希望您能反馈关于这个特性的看法。当程序的执行转移到视图相关的代码上时，以免滥用，临时关闭Zend_Session_Namespace实例和Zend_Session中的方法向会话数据存储器写数据的能力，试图通过这些实例或方法向会话数据存储器写数据的动作，都将会抛出一个异常。

关闭会话，把$_SESSION数组中的数据写到后台的存储器中（文件、数据库），完成内部数据的转换。可选的$readonly布尔参数可以通过抛出基于企图通过Zend_Session或者Zend_Session_Namespace写入会话的一个异常来删除写的能力。

	Throws
	缺省地，$readonly是被激活的，之后向会话数据存储器写数据的动作讲抛出异常。然而，一些遗留的应用程序期望$_SESSION在会话通过session_write_close()关闭后仍然可以写。虽然不是最佳的实践，但$readonly选项对有需要的人还是有用的。

该方法向客户端发送一个过期的会话cookie，以引起客户端删除会话cookie。通常这个技术被用来执行客户端登出请求。

对于大多数开发者来说缺省的save handler已经足够了。这个方法只是以面向对象的方式包装了一下session_set_save_handler()函数。

这个方法用来检查某会话命名空间是否存在，或者某会话命名空间下的某个索引是否存在。

	Throws
	如果Zend_Session没有被标记为可读（比如在Zend_Session开启之前），将会抛出一个异常。

使用namespaceUnset($namespace)注销某个命名空间及其内容，而不用为某个命名空间创建Zend_Session实例，然后迭代它删除每个条目。如果被注销的变量为数组，且该数组包含了其他对象，而这些对象又被其他变量引用，这些对象仍然是可访问的。不要期望namespaceUnset方法会“深”注销/删除命名空间下条目的内容。更详细的解释，请参考PHP手册中的References Explained

	Throws
	如果命名空间不可读（比如执行了destroy()之后），将会抛出一个异常。

不赞成的：在Zend_Session_Namespace中用getIterator()。 这个方法返回$namespace命名空间的内容数组$name。如果你有合理的理由认为该方法是公有的，请反馈到我们的邮件列表：fw-auth@lists.zend.com。实际上，所有参与相关话题讨论的，我们都是欢迎的。

	Throws
	如果Zend_Session没有被标记为可读（比如在Zend_Session开启之前），将会抛出一个异常。

使用getIterator()方法，可获得一个包含所有命名空间名字的数组。

	Throws
	如果Zend_Session没有被标记为可读（比如在Zend_Session开启之前），将会抛出一个异常。