Diferencia entre revisiones de «Usuario:ManuelRomero/php/sesiones/concepto»

De WikiEducator
Saltar a: navegación, buscar
(Página reemplazada por «{{:Usuario:ManuelRomero/php/sesiones/nav}}»)
(→‎Creando la sesión)
 
(2 revisiones intermedias por el mismo usuario no mostrado)
Línea 1: Línea 1:
 
{{:Usuario:ManuelRomero/php/sesiones/nav}}
 
{{:Usuario:ManuelRomero/php/sesiones/nav}}
 +
<!--__NOEDITSECTION__-->
 +
__NOTOC__
 +
 +
 +
 +
{{Conocimiento previo|Title=¿Qué son las sesiones?|
 +
* Es otro método para hacer que variables estén disponibles en múltiples páginas
 +
* A diferencia de las cookies, las variables de sesión se almacenan en el servidor
 +
* Tienen un tiempo limitado de existencia.
 +
* Para identificar al usuario que generó las variables de sesión, el servidor genera una clave única que es enviada al navegador y almacenada en una cookie.
 +
* Luego, cada vez que el navegador solicita otra página al mismo sitio, envía esta cookie (clave única) con la cual el servidor identifica de qué navegador proviene la petición y puede rescatar de un archivo de texto las variables de sesión que se han creado.
 +
* Cuando han pasado 20 minutos sin peticiones por parte de un cliente (navegador) las variables de sesión son eliminadas automáticamente (se puede configurar el entorno de PHP para variar este tiempo).
 +
* Una variable de sesión es más segura que una cookie ya que se almacena en el servidor.
 +
* No tiene que estar enviándose continuamente como sucede con las cookies.
 +
* Cuando el navegador del cliente está configurado para desactivar las cookies las variables de sesión, tienen forma de funcionar (enviando la clave como parámetro en cada hipervínculo).
 +
* Desventaja: ocupa espacio en el servidor.
 +
}}
 +
===SSID de la sesión===
 +
*Existen dos maneras de mantener el SSID de la sesión
 +
#Utilizando cookies, tema ya visto.
 +
#Propagando el SID en un parámetro de la URL. El SID se añade como una parte más de la URL, de la forma:
 +
  http://www.misitioweb.com/tienda/listado.php&PHPSESSID=34534fg4ffg34ty
 +
*En el ejemplo anterior, el SID es el valor del parámetro PHPSESSID.
 +
*En php todas estas acciones se realizan de forma transparente para el programador, es decir, como desarrolladores podemos directamente utilizar las sesiones en php sin necesidad de tener que transmitir el SSID. Directemnte php nos ofrece supervariables y funciones para gestionarlo.
 +
===Configuración===
 +
*Existen una serie de directivas para configurar las sesiones, que conviene conocer
 +
*Estas se pueden consultar viendo phpinfo(), y modificar en el fichero de configuración de  php, '''''php.ini'''''
 +
*Para ver todas las directivas http://es.php.net/manual/es/session.configuration.php
 +
;session.use_cookies
 +
:Indica si se deben usar cookies (1) o propagación en la URL (0) para almacenar el SID.
 +
:session.use_only_cookies
 +
:Se debe activar (1) cuando utilizas cookies para almacenar los SID, y además no quieres que se reconozcan los SID que se puedan pasar como parte de la URL (este método se puede usar para usurpar el identificador de otro usuario).
 +
;session.save_handler
 +
:Se utiliza para indicar a PHP cómo debe almacenar los datos de la sesión del usuario. Existen cuatro opciones: en ficheros (files), en memoria (mm), en una base de datos SQLite (sqlite) o utilizando para ello funciones que debe definir el programador (user). El valor por defecto (files) funcionará sin problemas en la mayoría de los casos.
 +
;session.name
 +
:Determina el nombre de la cookie que se utilizará para guardar el SID. Su valor por defecto es PHPSESSID.
 +
;session.auto_start
 +
:Su valor por defecto es 0, y en este caso deberás usar la función session_start para gestionar el inicio de las sesiones. Si usas sesiones en el sitio web, puede ser buena idea cambiar su valor a 1 para que PHP active de forma automática el manejo de sesiones.
 +
;session.cookie_lifetime
 +
:Si utilizas la URL para propagar el SID, éste se perderá cuando cierres tu navegador. Sin embargo, si utilizas cookies, el SID se mantendrá mientras no se destruya la cookie. En su valor por defecto (0), las cookies se destruyen cuando se cierra el navegador. Si quieres que se mantenga el SID durante más tiempo, debes indicar en esta directiva ese tiempo en segundos.
 +
;session.gc_maxlifetime
 +
:Indica el tiempo en segundos que se debe mantener activa la sesión, aunque no haya ninguna actividad por parte del usuario. Su valor por defecto es 1440. Es decir, pasados 24 minutos desde la última actividad por parte del usuario, se cierra su sesión automáticamente.
 +
{{Actividad| Localiza y actualiza estas directivas en tu fichero de configuración
 +
*coméntalas con tus palabras en dicho fichero}}
 +
 +
===Creando la sesión===
 +
*En función de como esté configurado la directiva '''''session.auto_start'''''
 +
*Si esta activada, la sesión comienza automáticamente al conectarse a un sitio
 +
*Si no está activada la iniciaremos con la funcion session_start();
 +
{{Actividad|Haz un programa que te cuente cuantas visitas recibe la página
 +
=Posible solución=
 +
<hr/><!--__NOEDITSECTION__-->
 +
__NOTOC__
 +
{|cellpadding="5" cellspacing="6" style="width:100%;background:#DFFFFF; border-style:solid; border-width:2px; border-color:#0066FF;"
 +
| width="100%" valign="top" style="padding: 0; margin:0px;" |
 +
{|cellpadding="5" cellspacing="6" style="width:100%;background:#DFFFFF; border-style:solid; border-width:1px; border-color:#0066FF;"
 +
| width="100%" valign="top" style="padding: 0; margin:0px;" |
 +
<span style="background:#FFFF99">
 +
</span>
 +
[[Imagen:DWES_TituloTema5.png|center]]
 +
|}
 +
 +
 +
{{Conocimiento previo|Title=¿Qué son las sesiones?|
 +
* Es otro método para hacer que variables estén disponibles en múltiples páginas
 +
* A diferencia de las cookies, las variables de sesión se almacenan en el servidor
 +
* Tienen un tiempo limitado de existencia.
 +
* Para identificar al usuario que generó las variables de sesión, el servidor genera una clave única que es enviada al navegador y almacenada en una cookie.
 +
* Luego, cada vez que el navegador solicita otra página al mismo sitio, envía esta cookie (clave única) con la cual el servidor identifica de qué navegador proviene la petición y puede rescatar de un archivo de texto las variables de sesión que se han creado.
 +
* Cuando han pasado 20 minutos sin peticiones por parte de un cliente (navegador) las variables de sesión son eliminadas automáticamente (se puede configurar el entorno de PHP para variar este tiempo).
 +
* Una variable de sesión es más segura que una cookie ya que se almacena en el servidor.
 +
* No tiene que estar enviándose continuamente como sucede con las cookies.
 +
* Cuando el navegador del cliente está configurado para desactivar las cookies las variables de sesión, tienen forma de funcionar (enviando la clave como parámetro en cada hipervínculo).
 +
* Desventaja: ocupa espacio en el servidor.
 +
}}
 +
===SSID de la sesión===
 +
*Existen dos maneras de mantener el SSID de la sesión
 +
#Utilizando cookies, tema ya visto.
 +
#Propagando el SID en un parámetro de la URL. El SID se añade como una parte más de la URL, de la forma:
 +
  http://www.misitioweb.com/tienda/listado.php&PHPSESSID=34534fg4ffg34ty
 +
*En el ejemplo anterior, el SID es el valor del parámetro PHPSESSID.
 +
*En php todas estas acciones se realizan de forma transparente para el programador, es decir, como desarrolladores podemos directamente utilizar las sesiones en php sin necesidad de tener que transmitir el SSID. Directemnte php nos ofrece supervariables y funciones para gestionarlo.
 +
===Configuración===
 +
*Existen una serie de directivas para configurar las sesiones, que conviene conocer
 +
*Estas se pueden consultar viendo phpinfo(), y modificar en el fichero de configuración de  php, '''''php.ini'''''
 +
*Para ver todas las directivas http://es.php.net/manual/es/session.configuration.php
 +
;session.use_cookies
 +
:Indica si se deben usar cookies (1) o propagación en la URL (0) para almacenar el SID.
 +
:session.use_only_cookies
 +
:Se debe activar (1) cuando utilizas cookies para almacenar los SID, y además no quieres que se reconozcan los SID que se puedan pasar como parte de la URL (este método se puede usar para usurpar el identificador de otro usuario).
 +
;session.save_handler
 +
:Se utiliza para indicar a PHP cómo debe almacenar los datos de la sesión del usuario. Existen cuatro opciones: en ficheros (files), en memoria (mm), en una base de datos SQLite (sqlite) o utilizando para ello funciones que debe definir el programador (user). El valor por defecto (files) funcionará sin problemas en la mayoría de los casos.
 +
;session.name
 +
:Determina el nombre de la cookie que se utilizará para guardar el SID. Su valor por defecto es PHPSESSID.
 +
;session.auto_start
 +
:Su valor por defecto es 0, y en este caso deberás usar la función session_start para gestionar el inicio de las sesiones. Si usas sesiones en el sitio web, puede ser buena idea cambiar su valor a 1 para que PHP active de forma automática el manejo de sesiones.
 +
;session.cookie_lifetime
 +
:Si utilizas la URL para propagar el SID, éste se perderá cuando cierres tu navegador. Sin embargo, si utilizas cookies, el SID se mantendrá mientras no se destruya la cookie. En su valor por defecto (0), las cookies se destruyen cuando se cierra el navegador. Si quieres que se mantenga el SID durante más tiempo, debes indicar en esta directiva ese tiempo en segundos.
 +
;session.gc_maxlifetime
 +
:Indica el tiempo en segundos que se debe mantener activa la sesión, aunque no haya ninguna actividad por parte del usuario. Su valor por defecto es 1440. Es decir, pasados 24 minutos desde la última actividad por parte del usuario, se cierra su sesión automáticamente.
 +
===Creando la sesión===
 +
*En función de como esté configurado la directiva '''''session.auto_start'''''
 +
*Si esta activada, la sesión comienza automáticamente al conectarse a un sitio
 +
*Si no está activada la iniciaremos con la funcion session_start();
 +
{{Ejemplo|
 +
<source lang="php">
 +
<? session_start();
 +
if (!isset($_SESSION["cuenta_paginas"])){
 +
    $_SESSION["cuenta_paginas"] = 1;
 +
}else{
 +
    $_SESSION["cuenta_paginas"]++;
 +
}
 +
?>
 +
<html>
 +
<head>
 +
<title>Contar páginas vistas por un usuario en toda su sesión</title>
 +
</head>
 +
 +
<body>
 +
<?
 +
echo "Desde que entraste has visto " . $_SESSION["cuenta_paginas"] . " páginas";
 +
?>
 +
<br>
 +
<br>
 +
<a href="otracuenta.php">Ver otra página</a>
 +
</body>
 +
</html>
 +
</source>
 +
}}
 +
 +
{{Tip| Cuando se hace un cambio de estado (login, cambio de permisos, ...): regenerar id.
 +
  session_regenerate_id()
 +
}}
 +
*Una vez creada la sesión podemos almacenar/consultar información de la misma consultando la variable superglobal $_SESSION
 +
{{Ejemplo
 +
<source lang=php>
 +
<?php
 +
// Iniciamos la sesión o recuperamos la anterior sesión existente
 +
session_start();
 +
// Comprobamos si la variable ya existe
 +
if (isset($_SESSION['visitas']))
 +
$_SESSION['visitas']++;
 +
else
 +
$_SESSION['visitas'] = 0;
 +
?> 
 +
</source>
 +
}}
 +
*Ahora almacenemos el instante en el que se produce cada visita
 +
<source lang=php>
 +
<?php
 +
// Iniciamos la sesión o recuperamos la anterior sesión existente
 +
session_start();
 +
// En cada visita añadimos un valor al array "visitas"
 +
$_SESSION['visitas'][] = mktime();
 +
?> 
 +
</source>
 +
 +
===Eliminando la sesion===
 +
*se puede configurar para que de forma automática se eliminen los datos de una sesión pasados un determinado tiempo
 +
*También podemos actuar directamente sobre una sesión eliminando información
 +
;session_unset.
 +
:Elimina las variables almacenadas en la sesión actual, pero no elimina la información de la sesión del dispositivo de almacenamiento usado.
 +
;session_destroy.
 +
Elimina completamente la información de la sesión del dispositivo de almacenamiento.
 +
{{Actividad|
 +
*Crea una página similar a la anterior usada en cookies,
 +
*Almacena en la sesión de usuario los instantes de todas sus últimas visitas.
 +
*Si es su primera visita, muestra un mensaje de bienvenida.
 +
*En caso contrario, muestra la fecha y hora de todas sus visitas anteriores. Añade un botón a la página que permita borrar el registro de visitas.
 +
*Utiliza también una variable de sesión para comprobar si el usuario se ha autentificado correctamente. De esta forma no hará falta comprobar las credenciales con la base de datos constantemente.
 +
 +
 +
==Propuesta de solución==
 +
<source lang=php>
 +
<?php
 +
// Si el usuario aún no se ha autentificado, pedimos las credenciales
 +
if (!isset($_SERVER['PHP_AUTH_USER'])) {
 +
    header('WWW-Authenticate: Basic realm="Contenido restringido"');
 +
    header("HTTP/1.0 401 Unauthorized");
 +
    exit;
 +
}
 +
// Vamos a guardar el usuario en una variable de sesión
 +
// si no existe, aún no se ha autentificado
 +
session_start();
 +
if (!isset($_SESSION['usuario'])) {
 +
// Conectamos a la base de datos
 +
    $dwes = new mysqli("localhost", "root", "root", "dwes");
 +
    $error = $dwes->connect_errno;
 +
// Si se estableció la conexión
 +
    if ($error == null) {
 +
// Ejecutamos la consulta para comprobar si existe
 +
// esa combinación de usuario y contraseña
 +
        $sql = "SELECT usuario FROM usuarios
 +
WHERE usuario='${_SERVER['PHP_AUTH_USER']}' AND
 +
contrasena=md5('${_SERVER['PHP_AUTH_PW']}')";
 +
 +
        $resultado = $dwes->query($sql);
 +
// Si no existe, se vuelven a pedir las credenciales
 +
        if ($resultado->num_rows == 0) {
 +
            header('WWW-Authenticate: Basic realm="Contenido restringido"');
 +
            header("HTTP/1.0 401 Unauthorized");
 +
            exit;
 +
        } else
 +
            $_SESSION['usuario'] = $_SERVER['PHP_AUTH_USER'];
 +
        $resultado->close();
 +
        $dwes->close();
 +
    }
 +
}
 +
// Si ya está autentificado
 +
else {
 +
// Comprobamos si se ha enviado el formulario de limpiar el registro
 +
    if (isset($_POST['limpiar']))
 +
        unset($_SESSION['visita']);
 +
    else
 +
        $_SESSION['visita'][] = time();
 +
}
 +
?>
 +
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "
 +
    http://www.w3.org/TR/html4/loose.dtd">
 +
<html>
 +
    <head>
 +
        <meta http-equiv="content-type" content="text/html; charset=UTF-8">
 +
        <title>Ejemplo Tema 4: Cookies en autentificación HTTP</title><link href="dwes.css" rel="stylesheet" type="text/css">
 +
    </head>
 +
    <body>
 +
        <?php
 +
        if ($error == null) {
 +
            echo "Nombre de usuario: " . $_SERVER['PHP_AUTH_USER'] . "<br />";
 +
            echo "Hash de la contraseña: " . md5($_SERVER['PHP_AUTH_PW']) . "<br />";
 +
            if (count($_SESSION['visita']) == 0)
 +
                echo "Bienvenido. Esta es su primera visita.";
 +
            else {
 +
                date_default_timezone_set('Europe/Madrid');
 +
                foreach ($_SESSION['visita'] as $v)
 +
                    echo date("d/m/y \a \l\a\s H:i", $v) . "<br />";
 +
                ?>
 +
                <form id='vaciar' action='<?php echo $_SERVER['PHP_SELF']; ?>' method='post'>
 +
                    <input type='submit' name='limpiar' value='Limpiar registro'/>
 +
                </form>
 +
                <?php
 +
            }
 +
        } else
 +
            echo "Se ha producido el error $error.<br />";
 +
        ?>
 +
    </body>
 +
</html>
 +
</source>
 +
 +
}}
 +
 +
{{Lectura|Title=Documentación|
 +
* http://www.php.net/manual/es/book.session.php
 +
* http://www.w3schools.com/php/php_sessions.asp
 +
* http://www.mclibre.org/consultar/php/lecciones/php_sesiones.html
 +
}}
 +
 +
 +
{{Actividad|
 +
Ejercicios:
 +
* http://www.mclibre.org/consultar/php/ejercicios/nivel_medio/sesiones/sesiones.html
 +
** Formulario en tres pasos
 +
** Almacenamiento de datos en sesión
 +
* http://www.mclibre.org/consultar/php/ejercicios/nivel_medio/registro_de_usuarios_1.html
 +
 +
}}
 +
 +
<source lang="php">
 +
<? session_start();
 +
if (!isset($_SESSION["cuenta_paginas"])){
 +
    $_SESSION["cuenta_paginas"] = 1;
 +
}else{
 +
    $_SESSION["cuenta_paginas"]++;
 +
}
 +
?>
 +
<html>
 +
<head>
 +
<title>Contar páginas vistas por un usuario en toda su sesión</title>
 +
</head>
 +
 +
<body>
 +
<?
 +
echo "Desde que entraste has visto " . $_SESSION["cuenta_paginas"] . " páginas";
 +
?>
 +
<br>
 +
<br>
 +
<a href="otracuenta.php">Ver otra página</a>
 +
</body>
 +
</html>
 +
</source>
 +
}}
 +
 +
{{Tip| Cuando se hace un cambio de estado (login, cambio de permisos, ...): regenerar id.
 +
  session_regenerate_id()
 +
}}
 +
*Una vez creada la sesión podemos almacenar/consultar información de la misma consultando la variable superglobal $_SESSION
 +
{{Ejemplo
 +
<source lang=php>
 +
<?php
 +
// Iniciamos la sesión o recuperamos la anterior sesión existente
 +
session_start();
 +
// Comprobamos si la variable ya existe
 +
if (isset($_SESSION['visitas']))
 +
$_SESSION['visitas']++;
 +
else
 +
$_SESSION['visitas'] = 0;
 +
?> 
 +
</source>
 +
}}
 +
*Ahora almacenemos el instante en el que se produce cada visita
 +
<source lang=php>
 +
<?php
 +
// Iniciamos la sesión o recuperamos la anterior sesión existente
 +
session_start();
 +
// En cada visita añadimos un valor al array "visitas"
 +
$_SESSION['visitas'][] = mktime();
 +
?> 
 +
</source>
 +
 +
===Eliminando la sesion===
 +
*se puede configurar para que de forma automática se eliminen los datos de una sesión pasados un determinado tiempo
 +
*También podemos actuar directamente sobre una sesión eliminando información
 +
;session_unset.
 +
:Elimina las variables almacenadas en la sesión actual, pero no elimina la información de la sesión del dispositivo de almacenamiento usado.
 +
;session_destroy.
 +
Elimina completamente la información de la sesión del dispositivo de almacenamiento.
 +
{{Actividad|
 +
*Crea una página similar a la anterior usada en cookies,
 +
*Almacena en la sesión de usuario los instantes de todas sus últimas visitas.
 +
*Si es su primera visita, muestra un mensaje de bienvenida.
 +
*En caso contrario, muestra la fecha y hora de todas sus visitas anteriores. Añade un botón a la página que permita borrar el registro de visitas.
 +
*Utiliza también una variable de sesión para comprobar si el usuario se ha autentificado correctamente. De esta forma no hará falta comprobar las credenciales con la base de datos constantemente.
 +
 +
 +
==Propuesta de solución==
 +
<source lang=php>
 +
<?php
 +
// Si el usuario aún no se ha autentificado, pedimos las credenciales
 +
if (!isset($_SERVER['PHP_AUTH_USER'])) {
 +
    header('WWW-Authenticate: Basic realm="Contenido restringido"');
 +
    header("HTTP/1.0 401 Unauthorized");
 +
    exit;
 +
}
 +
// Vamos a guardar el usuario en una variable de sesión
 +
// si no existe, aún no se ha autentificado
 +
session_start();
 +
if (!isset($_SESSION['usuario'])) {
 +
// Conectamos a la base de datos
 +
    $dwes = new mysqli("localhost", "root", "root", "dwes");
 +
    $error = $dwes->connect_errno;
 +
// Si se estableció la conexión
 +
    if ($error == null) {
 +
// Ejecutamos la consulta para comprobar si existe
 +
// esa combinación de usuario y contraseña
 +
        $sql = "SELECT usuario FROM usuarios
 +
WHERE usuario='${_SERVER['PHP_AUTH_USER']}' AND
 +
contrasena=md5('${_SERVER['PHP_AUTH_PW']}')";
 +
 +
        $resultado = $dwes->query($sql);
 +
// Si no existe, se vuelven a pedir las credenciales
 +
        if ($resultado->num_rows == 0) {
 +
            header('WWW-Authenticate: Basic realm="Contenido restringido"');
 +
            header("HTTP/1.0 401 Unauthorized");
 +
            exit;
 +
        } else
 +
            $_SESSION['usuario'] = $_SERVER['PHP_AUTH_USER'];
 +
        $resultado->close();
 +
        $dwes->close();
 +
    }
 +
}
 +
// Si ya está autentificado
 +
else {
 +
// Comprobamos si se ha enviado el formulario de limpiar el registro
 +
    if (isset($_POST['limpiar']))
 +
        unset($_SESSION['visita']);
 +
    else
 +
        $_SESSION['visita'][] = time();
 +
}
 +
?>
 +
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "
 +
    http://www.w3.org/TR/html4/loose.dtd">
 +
<html>
 +
    <head>
 +
        <meta http-equiv="content-type" content="text/html; charset=UTF-8">
 +
        <title>Ejemplo Tema 4: Cookies en autentificación HTTP</title><link href="dwes.css" rel="stylesheet" type="text/css">
 +
    </head>
 +
    <body>
 +
        <?php
 +
        if ($error == null) {
 +
            echo "Nombre de usuario: " . $_SERVER['PHP_AUTH_USER'] . "<br />";
 +
            echo "Hash de la contraseña: " . md5($_SERVER['PHP_AUTH_PW']) . "<br />";
 +
            if (count($_SESSION['visita']) == 0)
 +
                echo "Bienvenido. Esta es su primera visita.";
 +
            else {
 +
                date_default_timezone_set('Europe/Madrid');
 +
                foreach ($_SESSION['visita'] as $v)
 +
                    echo date("d/m/y \a \l\a\s H:i", $v) . "<br />";
 +
                ?>
 +
                <form id='vaciar' action='<?php echo $_SERVER['PHP_SELF']; ?>' method='post'>
 +
                    <input type='submit' name='limpiar' value='Limpiar registro'/>
 +
                </form>
 +
                <?php
 +
            }
 +
        } else
 +
            echo "Se ha producido el error $error.<br />";
 +
        ?>
 +
    </body>
 +
</html>
 +
</source>
 +
 +
}}
 +
 +
{{Lectura|Title=Documentación|
 +
* http://www.php.net/manual/es/book.session.php
 +
* http://www.w3schools.com/php/php_sessions.asp
 +
* http://www.mclibre.org/consultar/php/lecciones/php_sesiones.html
 +
}}
 +
 +
 +
{{Actividad|
 +
Ejercicios:
 +
* http://www.mclibre.org/consultar/php/ejercicios/nivel_medio/sesiones/sesiones.html
 +
** Formulario en tres pasos
 +
** Almacenamiento de datos en sesión
 +
* http://www.mclibre.org/consultar/php/ejercicios/nivel_medio/registro_de_usuarios_1.html
 +
 +
}}

Última revisión de 02:25 26 feb 2015






Icon preknowledge.gif

¿Qué son las sesiones?

  • Es otro método para hacer que variables estén disponibles en múltiples páginas
  • A diferencia de las cookies, las variables de sesión se almacenan en el servidor
  • Tienen un tiempo limitado de existencia.
  • Para identificar al usuario que generó las variables de sesión, el servidor genera una clave única que es enviada al navegador y almacenada en una cookie.
  • Luego, cada vez que el navegador solicita otra página al mismo sitio, envía esta cookie (clave única) con la cual el servidor identifica de qué navegador proviene la petición y puede rescatar de un archivo de texto las variables de sesión que se han creado.
  • Cuando han pasado 20 minutos sin peticiones por parte de un cliente (navegador) las variables de sesión son eliminadas automáticamente (se puede configurar el entorno de PHP para variar este tiempo).
  • Una variable de sesión es más segura que una cookie ya que se almacena en el servidor.
  • No tiene que estar enviándose continuamente como sucede con las cookies.
  • Cuando el navegador del cliente está configurado para desactivar las cookies las variables de sesión, tienen forma de funcionar (enviando la clave como parámetro en cada hipervínculo).
  • Desventaja: ocupa espacio en el servidor.



SSID de la sesión

  • Existen dos maneras de mantener el SSID de la sesión
  1. Utilizando cookies, tema ya visto.
  2. Propagando el SID en un parámetro de la URL. El SID se añade como una parte más de la URL, de la forma: 
 http://www.misitioweb.com/tienda/listado.php&PHPSESSID=34534fg4ffg34ty
  • En el ejemplo anterior, el SID es el valor del parámetro PHPSESSID.
  • En php todas estas acciones se realizan de forma transparente para el programador, es decir, como desarrolladores podemos directamente utilizar las sesiones en php sin necesidad de tener que transmitir el SSID. Directemnte php nos ofrece supervariables y funciones para gestionarlo.

Configuración

  • Existen una serie de directivas para configurar las sesiones, que conviene conocer
  • Estas se pueden consultar viendo phpinfo(), y modificar en el fichero de configuración de php, php.ini
  • Para ver todas las directivas http://es.php.net/manual/es/session.configuration.php
session.use_cookies
Indica si se deben usar cookies (1) o propagación en la URL (0) para almacenar el SID.
session.use_only_cookies
Se debe activar (1) cuando utilizas cookies para almacenar los SID, y además no quieres que se reconozcan los SID que se puedan pasar como parte de la URL (este método se puede usar para usurpar el identificador de otro usuario).
session.save_handler
Se utiliza para indicar a PHP cómo debe almacenar los datos de la sesión del usuario. Existen cuatro opciones: en ficheros (files), en memoria (mm), en una base de datos SQLite (sqlite) o utilizando para ello funciones que debe definir el programador (user). El valor por defecto (files) funcionará sin problemas en la mayoría de los casos.
session.name
Determina el nombre de la cookie que se utilizará para guardar el SID. Su valor por defecto es PHPSESSID.
session.auto_start
Su valor por defecto es 0, y en este caso deberás usar la función session_start para gestionar el inicio de las sesiones. Si usas sesiones en el sitio web, puede ser buena idea cambiar su valor a 1 para que PHP active de forma automática el manejo de sesiones.
session.cookie_lifetime
Si utilizas la URL para propagar el SID, éste se perderá cuando cierres tu navegador. Sin embargo, si utilizas cookies, el SID se mantendrá mientras no se destruya la cookie. En su valor por defecto (0), las cookies se destruyen cuando se cierra el navegador. Si quieres que se mantenga el SID durante más tiempo, debes indicar en esta directiva ese tiempo en segundos.
session.gc_maxlifetime
Indica el tiempo en segundos que se debe mantener activa la sesión, aunque no haya ninguna actividad por parte del usuario. Su valor por defecto es 1440. Es decir, pasados 24 minutos desde la última actividad por parte del usuario, se cierra su sesión automáticamente.


Icon activity.jpg

Actividad

Localiza y actualiza estas directivas en tu fichero de configuración
  • coméntalas con tus palabras en dicho fichero




Creando la sesión

  • En función de como esté configurado la directiva session.auto_start
  • Si esta activada, la sesión comienza automáticamente al conectarse a un sitio
  • Si no está activada la iniciaremos con la funcion session_start();


Icon activity.jpg

Actividad

{




Icon present.gif
Tip: Cuando se hace un cambio de estado (login, cambio de permisos, ...): regenerar id. 
 session_regenerate_id()


  • Una vez creada la sesión podemos almacenar/consultar información de la misma consultando la variable superglobal $_SESSION

{{Ejemplo 

<?php
// Iniciamos la sesión o recuperamos la anterior sesión existente
session_start();
// Comprobamos si la variable ya existe
if (isset($_SESSION['visitas']))
$_SESSION['visitas']++;
else
$_SESSION['visitas'] = 0;
?>

}}

  • Ahora almacenemos el instante en el que se produce cada visita 
<?php
// Iniciamos la sesión o recuperamos la anterior sesión existente
session_start();
// En cada visita añadimos un valor al array "visitas"
$_SESSION['visitas'][] = mktime();
?>

Eliminando la sesion

  • se puede configurar para que de forma automática se eliminen los datos de una sesión pasados un determinado tiempo
  • También podemos actuar directamente sobre una sesión eliminando información
session_unset.
Elimina las variables almacenadas en la sesión actual, pero no elimina la información de la sesión del dispositivo de almacenamiento usado.
session_destroy.

Elimina completamente la información de la sesión del dispositivo de almacenamiento.


Icon activity.jpg

Actividad

  • Crea una página similar a la anterior usada en cookies,
  • Almacena en la sesión de usuario los instantes de todas sus últimas visitas.
  • Si es su primera visita, muestra un mensaje de bienvenida.
  • En caso contrario, muestra la fecha y hora de todas sus visitas anteriores. Añade un botón a la página que permita borrar el registro de visitas.
  • Utiliza también una variable de sesión para comprobar si el usuario se ha autentificado correctamente. De esta forma no hará falta comprobar las credenciales con la base de datos constantemente.


Propuesta de solución

<?php
// Si el usuario aún no se ha autentificado, pedimos las credenciales
if (!isset($_SERVER['PHP_AUTH_USER'])) {
    header('WWW-Authenticate: Basic realm="Contenido restringido"');
    header("HTTP/1.0 401 Unauthorized");
    exit;
}
// Vamos a guardar el usuario en una variable de sesión
// si no existe, aún no se ha autentificado
session_start();
if (!isset($_SESSION['usuario'])) {
// Conectamos a la base de datos
    $dwes = new mysqli("localhost", "root", "root", "dwes");
    $error = $dwes->connect_errno;
// Si se estableció la conexión
    if ($error == null) {
// Ejecutamos la consulta para comprobar si existe
// esa combinación de usuario y contraseña
        $sql = "SELECT usuario FROM usuarios
 WHERE usuario='${_SERVER['PHP_AUTH_USER']}' AND 
 contrasena=md5('${_SERVER['PHP_AUTH_PW']}')";
 
        $resultado = $dwes->query($sql);
// Si no existe, se vuelven a pedir las credenciales
        if ($resultado->num_rows == 0) {
            header('WWW-Authenticate: Basic realm="Contenido restringido"');
            header("HTTP/1.0 401 Unauthorized");
            exit;
        } else
            $_SESSION['usuario'] = $_SERVER['PHP_AUTH_USER'];
        $resultado->close();
        $dwes->close();
    }
}
// Si ya está autentificado
else {
// Comprobamos si se ha enviado el formulario de limpiar el registro
    if (isset($_POST['limpiar']))
        unset($_SESSION['visita']);
    else
        $_SESSION['visita'][] = time();
}
?>
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "
    http://www.w3.org/TR/html4/loose.dtd">
<html>
    <head>
        <meta http-equiv="content-type" content="text/html; charset=UTF-8">
        <title>Ejemplo Tema 4: Cookies en autentificación HTTP</title><link href="dwes.css" rel="stylesheet" type="text/css">
    </head>
    <body>
        <?php
        if ($error == null) {
            echo "Nombre de usuario: " . $_SERVER['PHP_AUTH_USER'] . "<br />";
            echo "Hash de la contraseña: " . md5($_SERVER['PHP_AUTH_PW']) . "<br />";
            if (count($_SESSION['visita']) == 0)
                echo "Bienvenido. Esta es su primera visita.";
            else {
                date_default_timezone_set('Europe/Madrid');
                foreach ($_SESSION['visita'] as $v)
                    echo date("d/m/y \a \l\a\s H:i", $v) . "<br />";
                ?>
                <form id='vaciar' action='<?php echo $_SERVER['PHP_SELF']; ?>' method='post'>
                    <input type='submit' name='limpiar' value='Limpiar registro'/>
                </form>
                <?php
            }
        } else
            echo "Se ha producido el error $error.<br />";
        ?>
    </body>
</html>






Icon reading.jpg

Documentación






Icon activity.jpg

Actividad

Ejercicios:




Obtenido de «https://es.wikieducator.org/index.php?title=Usuario:ManuelRomero/php/sesiones/concepto&oldid=17065»