Sessions et cookies en PHP

Les registers_globals▲

<?php
session_start();

if (ini_get('register_globals') == '1') {
    echo 'Vous devriez mettre <b>register_globals</b> à <b>Off</b><br/>';
}

$_SESSION['login'] = 'toto';
$login = 'titi';

// Affiche :
// - 'titi' avec register_globals à On donc modification, car dans CE cas
//   $_SESSION['login'] et $login représente la même variable
// - 'toto' avec register_globals à Off
echo $_SESSION['login'];
?>

php_flag register_globals Off

Les fonctions session_register(), session_unregister(), session_is_registered() et session_unset()▲

Il existe deux façons différentes d'ouvrir une session :

• automatique sur toutes vos pages si l'option session.auto_start est égale à 1 ou on. Cette option a pour valeur par défaut 0 ou off.

• Extrait du fichier php.ini :

session.auto_start = 0 ; initialize session on request startup

Extrait du phpinfo :

• démarrage explicite et manuel de la session en utilisant la fonction session_start(). Elle permet non seulement de créer une session, mais aussi de restaurer une session via l'identifiant de session. Dans la mesure du possible, je vous recommande donc d'utiliser cette fonction pour démarrer les sessions. Elle vous permettra de récupérer la session existante ou d'en créer une si aucune session ne correspond à l'utilisateur.
  Un appel à session_start() va faire générer à PHP des en-têtes HTTP pour la réponse : il va spécifier au client qu'il ne veut pas qu'il mette la page en cache (on verra ça plus bas).
  S'il n'avait pas reçu d'identifiant de session, par cookie ou trans-id, PHP va alors générer aussi un en-tête HTTP set-cookie, pour lui passer l'identifiant qu'il viendra de générer fraichement pour nous (sauf si on désactive le cookie, voir plus bas).
  C'est pour cela, que comme on l'a expliqué plus haut avec setCookie(), session_start() doit être appelé avant toute sortie (echo, print ou autre).

Les variables de sessions sont, tout simplement, stockées dans le tableau super-global $_SESSION. Vous pouvez y stocker des variables de type chaîne, entier, flottant, caractère, etc. ainsi que les objets et tableaux dont les attributs ou le contenu correspondent aux types définis ci-avant (sous certaines conditions au niveau des objets notamment).

<?php
session_start(); // Création de la session
$_SESSION['prenom'] = 'Jean-Pierre'; // Sauvegarde dans la session créée de la variable "prenom"
?>

Quand on démarre une session avec session_start(), le tableau super-global $_SESSION est automatiquement initialisé avec les variables de la session. S'il contenait quelque chose, ce contenu n'est plus disponible après.

<?php
echo $_SESSION['prenom'];
?>

Il est utile de savoir si des variables de session sont bel et bien enregistrées dans la session. Si ce n'est pas le cas, dans le cadre d'un script d'identification, nous allons demander à l'utilisateur de s'identifier. Pour cela, nous utilisons sur le tableau $_SESSION la fonction isset() qui renvoie vrai si la variable passée en argument existe réellement. Par exemple, nous allons reprendre la même variable de session que précédemment : prenom.

<?php
if (isset($_SESSION['prenom'])) {
    echo 'La variable prenom est déjà enregistrée !';
    // On est certain de pouvoir y accéder ici
} else {
    echo 'La variable prenom n\'est pas enregistrée !';
}
?>

Pour supprimer une variable, uniquement, d'une session, on utilise la fonction unset(), qui prend en paramètre la variable à détruire. Nous allons ici continuer la série d'exemples par la destruction de la variable de session prenom.

<?php
unset($_SESSION['prenom']); // La variable de session "prenom" a été supprimée, on ne peut plus y avoir accès !
?>

La fonction session_destroy(), qui ne prend aucun paramètre et qui renvoie vrai en cas de succès et faux en cas d'erreur, est utilisée lorsque vous souhaitez vous déconnecter. Elle s'emploie donc ainsi :

<?php
if (session_destroy()) {
    echo 'Session détruite !';
} else {
    echo 'Erreur : impossible de détruire la session !';
}
?>

Il est aussi possible de détruire toutes les variables de session, ce qui permet de conserver votre session : il suffit de réinitialiser le tableau $_SESSION.

<?php
$_SESSION = array(); // $_SESSION est désormais un tableau vide, toutes les variables de session ont été supprimées
?>

Il est possible de demander à PHP un nouvel identifiant de session grâce à la fonction session_regenerate_id(). Les données ne sont alors pas effacées de la session en cours. L'identifiant de session est simplement modifié, l'ancien devenant invalide. Cela est utile lorsque, par exemple, l'utilisateur change de niveau d'accès, s'il a accès à de nouvelles possibilités ou au contraire n'a plus accès à d'anciennes pages. De cette manière, si quelqu'un avait réussi à trouver l'ancien identifiant de session, il n'aura pas accès aux nouveaux privilèges de l'utilisateur.
À l'inverse, si les identifiants de sessions sont régénérés trop souvent, cela peut poser des problèmes au niveau du référencement des pages web, surtout dans les cas où ils sont passés via l'URL.