覆盖超级全局 $_SESSION 是否安全？

Question

用专门的会话对象覆盖超级全局 $_SESSION 是否安全？

class SessionObject implements ArrayAccess { ... }

...

// Session data has just been deserialised from store.
$_SESSION = new SessionObject( $session_data );

...

// Using session object...
$_SESSION['key'] = 27;
$x = $_SESSION->get_data('key2', 'default-value');

Answer 1

虽然这可能有效，但我认为这不是明智的行为。在我看来，最小惊喜原则不仅适用于用户界面设计，也适用于编程。如果您在脚本中覆盖 $_SESSION 的默认行为，那么将来必须处理您的代码的程序员将会感到非常困惑。

我认为以这种方式滥用 $_SESSION 的超全局性质是一种黑客行为，而且是一种令人不快的行为。

在我看来，更好的是编写一个具有静态方法的类来获取和设置数据：

class Session {
    public function get($key, $defaultValue = null) {
        // do some code to get the value for $key, and return $defaultValue if there is none
    }

    public function set($key, $value) {
        // do some code to set $key
    }
}

然后您可以使用 Session::get('someKey') 或 Session 访问它： :get('someKey', 'default') 和 Session::set('someKey', 'someValue')。

由于类本质上是全局的，因此您可以从代码中的任何位置访问它。这并不令人惊讶，并且会减少后续的混乱。

如果出于某种设计原因确实想使用对象方法，那么最好实现单例模式。

Answer 2

对我来说似乎有点冒险。您检查过 session_set_save_handler 方法吗？它允许您指定要使用的自己的处理程序，而不是尝试覆盖 $_SESSION。

Answer 3

如果您自己处理会话处理和存储，那么您可以做任何您想做的事。在这方面，$_SESSION 超全局变量可以像任何其他变量一样使用。

只有 PHP 的默认会话处理程序才会对其进行特殊处理。它期望那里有一个普通数组（并且也不能进行数字索引）。如果你想再次使用它，你需要通过关闭调用来撤消花哨的 ArrayObject 包装：

register_shutdown_function(function(){
    $_SESSION = (array)$_SESSION;
});