Weblabor

PHP-ben a beépített munkamenet-kezelő átírásáról nem található elegendő információ a kézikönyvben, ezért gondoltam összeszedem az ismereteimet ezzel kapcsolatban, hogy másnak már könnyebben menjen. (Az itt leírtak PHP 5.2.17-re érvényesek.)

Ha meglévő kódhoz akarunk munkamenet-kezelőt írni, és meg akarjuk tartani a $_SESSION szuperglobális használatát, akkor problémák sorozatába ütközünk.

Munkamenetek tárolása

Kezdjük az elején: saját munkamenet-tárolót PHP-ben a session_set_save_handler() segítségével állíthatunk be. Ennek bemutatására csináltam egy kis adapter vázat:

class SessionStoreAdapter
{
    public function __construct() {
        session_set_save_handler(
            array($this, 'openSession'),
            array($this, 'closeSession'),
            array($this, 'readSession'),
            array($this, 'writeSession'),
            array($this, 'destroySession'),
            array($this, 'collectGarbage')
        );
        
        // Oldal generálása után a munkamenet mentése (hiba és kivétel fellépése esetén is lefut)
        register_shutdown_function('session_write_close');
    }
    
    public function openSession($savePath, $cookieName)
    {
        // Munkamenet nyitása
        // Egy session header automatikusan küldésre kerül (bufferrel lehetséges elfogni)
        // Kapcsolat nyitása a tárolást végző rendszerhez kerülhet ebbe a részbe
        
        return true;
    }
    
    public function closeSession()
    {
        // Munkamenet zárása
        // Kapcsolat zárása a tárolást végző rendszerhez, ami ide kerülhet
        
        return true;
    }
    
    public function readSession($id)
    {
        // Adatok kiolvasása az id alapján
        // Sztringet vár vissza a szerializált adatokról
        
        $data = array(
            'testBoolean' => true,
            'testString'  => 'test string',
            'testInteger' => 13
        );
        
        return $this->encode($data);
    }
    
    public function writeSession($id, $encodedData)
    {
        // Adatok tárolása az id alapján
        // Az adatokat szerializálva kapjuk
        
        $data = $this->decode($encodedData);
        
        return true;
    }
    
    public function destroySession($id)
    {
        // Adatok törlése az id alapján
        
        return true;
    }
    
    public function collectGarbage($lifeTime)
    {
        // Szemétgyűjtés
        // Adatok törlése, ha régebben módosultak, mint a lifeTime
        // A lifeTime – mint minden „time” végződésű változó – másodpercben értendő
        
        return true;
    }
    
    public function encode(array $data)
    {
        // Így működik a beépített szerializáló
        
        $encodedData = '';
        
        foreach ($data as $key => $value) {
            $encodedData .= $key . '|' . serialize($value);
        }
        
        return $encodedData;
    }
    
    public function decode($encodedData)
    {
        // Így csomagol ki a beépített szerializáló (a kézikönyvből másolt kód)
        
        $encodedDataSplitterPattern = '/([a-zA-Z_\x7f-\xff][a-zA-Z0-9_\x7f-\xff^|]*)\|/';
        $entries = preg_split($encodedDataSplitterPattern, $encodedData, -1, PREG_SPLIT_NO_EMPTY | PREG_SPLIT_DELIM_CAPTURE);
        
        $data = array();
        
        for ($index = 0, $entriesCount = count($entries); $index < $entriesCount; ++$index) {
            $key = $entries[$index];
            ++$index;
            $value = unserialize($entries[$index]);
            $data[$key] = $value;
        }
        
        return $data;
    }
}

Ez a kérdés elég egyszerűen megy, megkapjuk az adatokat, mentjük őket, aztán meg kiolvassuk, ha a következő oldalon újra lekérik őket. Már itt is látszik, hogy csak limitált eszköztárat kaptunk, mert eleve szerializálva kapjuk meg az adatokat, és ilyen formában is várja őket vissza a munkamenet-kezelő rendszer. Tetszőleges módon csak akkor szerializálhatjuk őket, ha használjuk az adapterben a decode() és encode() metódusokat. (Ezek rekurzióra nincsenek felkészítve.)

Munkamenetek kezelése

Most nézzük meg a beépített munkamenet-kezelő függvényeket, és azt, hogy ezek mit csinálnak.

A session_start() függvény állítja be a válaszban a munkamenethez kapcsolódó fejléceket. Az adapteren az openSession() és a readSession() metódusokat hívja; beolvassa az adatokat a $_SESSION szuperglobálisba. Ha a tartalom kirajzolása után próbáljuk indítani, akkor hibával tér vissza, hiszen nem lehet fejlécet küldeni, ha már a tartalmat írjuk. Egynél többszöri meghívása garantáltan hibaüzenethez vezet.

A session_id() nevű függvénnyel saját munkamenet-azonosítót állíthatunk be az aktuális munkamenetünknek. A beállítással kapcsolatban ami fontos, hogy a session_start() előtt kell megtenni, ellenkező esetben nem veszi figyelembe a munkamenet-kezelő. (Erről hibaüzenetet nem kapunk.)

A session_name() függvény a session_id()-hez hasonlóan működik, a session cookie nevét lehet beállítani vele.

A session_regenerate_id() új munkamenet-azonosítót állít be, újraküldi a fejlécet az új azonosítóval, hogy felülírja a régi fejlécet. Így a kimenetben mindkettő ott lesz egymás után. Ha azt szeretnénk, hogy a régi munkamenetre meghívja az adapteren a destroySession()-t, akkor session_regenerate_id(true) formában kell hívnunk. Ami érdekes, hogy az adapteren semmit nem hív, tehát semmi garancia nincs arra, hogy olyan azonosítót kapunk, ami még nincs bent a rendszerben, tehát kicsi az esélye, de elviekben simán megkaphatjuk akár mások munkamenetét is. (Ezzel a függvénnyel a session fixation támadásokat lehet kivédeni. Ha valaki fixált munkamenettel érkezik, akkor a bejelentkezéskor érdemes megváltoztatni az azonosítót, így a támadók által beállított nem kapja meg az áldozat jogait a bejelentkezéskor.)

A session_commit() és session_write_close() függvények gyakorlatilag azonosak. Mindkettő menti a munkamenetet, és bezárja azt, ennek megfelelően a writeSession() és a closeSession() metódusokat hívják egymás után az adapteren. A PHP fejlesztői szerintem nem voltak a helyzet magaslatán, amikor ezeket a függvényeket alkották, és ez abból is látszik, hogy két eltérő nevű függvény csinálja ugyanazt. Én úgy gondolom, hogy a session_commit()-nak nem lenne szabad bezárnia a munkamenetet, főleg nem úgy, hogy utána az adaptert újra be kelljen állítani újraindításkor. (Ha úgy hívjuk meg őket, hogy nincs nyitott munkamenet, akkor nem kapunk hibaüzenetet.)

A session_destroy() törli az aktuális munkamenetet. Az adapteren a destroySession() és a closeSession() metódusokat hívja. Persze a beállított session cookie-k így is kimennek. Törlés után nem lehet új munkamenetet indítani.

Összességében szerintem a beépített munkamenet.kezelőt nem érdemes használni a benne lévő biztonsági és logikai hibák miatt. Én éppen saját munkamenet-kezelőn dolgozom, ettől függetlenül csináltam adaptert a beépítetthez, hogy például egy eleve arra épülő oldalt könnyebb legyen refaktorálni.