Distruggere veramente una sessione PHP?

Question

Ho sentito risposte contrastanti su questo argomento, quindi qual è un modo sicuro per distruggere una sessione PHP?

session_start(); 
if(isset($_SESSION['foo'])) { 
    unset($_SESSION['foo']; 
    ... 
} 
session_destroy(); 

Nei casi più semplici, sarebbe sufficiente per terminare realmente la sessione tra l'utente e il server?

Answer 1

Per distruggere una sessione è necessario adottare le seguenti misure:

• cancellare i dati della sessione
• invalidare la sessione ID

Per fare ciò, I ‘D Usare questo:

session_start(); 
// resets the session data for the rest of the runtime 
$_SESSION = array(); 
// sends as Set-Cookie to invalidate the session cookie 
if (isset($_COOKIE[session_name()])) { 
    $params = session_get_cookie_params(); 
    setcookie(session_name(), '', 1, $params['path'], $params['domain'], $params['secure'], isset($params['httponly'])); 
} 
session_destroy(); 

E per essere sicuri che l'ID di sessione non è valida, si dovrebbe consentire solo gli ID di sessione che venivano avviate da script. Quindi impostare un flag e verificare se è impostato:

session_start(); 
if (!isset($_SESSION['CREATED'])) { 
    // invalidate old session data and ID 
    session_regenerate_id(true); 
    $_SESSION['CREATED'] = time(); 
} 

Inoltre, è possibile utilizzare questo timestamp per scambiare l'ID di sessione periodicamente per ridurre la sua vita:

if (time() - $_SESSION['CREATED'] > ini_get('session.gc_maxlifetime')) { 
    session_regenerate_id(true); 
    $_SESSION['CREATED'] = time(); 
} 

Answer 2

In un sito che ho realizzato dove ho usato le sessioni PHP, non ho mai distrutto la sessione.

Il problema è che devi chiamare lo session_start() per controllare le tue variabili $_SESSION, a quel punto, ecco, hai comunque creato un'altra sessione.

qui sul mio sito ho appena fatto in modo che ogni pagina chiamata session_start(), e poi basta unset() quelle parti lo stato di sessione che importa quando l'utente si disconnette.

Answer 3

Il manuale PHP risponde a questa domanda.

È necessario interrompere la sessione e rimuovere anche il cookie di sessione (se si utilizzano i cookie).

Vedere questa pagina (in particolare il primo esempio):

http://us2.php.net/manual/en/function.session-destroy.php