检测session_id(some-id)是否存在

Question

可能的重复：
检测 PHP 会话是否存在

PHP 手册似乎没有提供检查是否存在的方法给定的 session_id 存在。例如，session_id() 有一个可选的 id 参数，但它会替换现有的 id，而不是按照所需的方法进行查找： session_id_exists(some-id)

为什么我需要检查给定的 session_id 是否存在？使用案例是体育订阅服务，其中密码共享已成为问题。登录时，我将用户的会话 ID 存储在数据库中，并使用它与附加到给定 userID 的任何其他现有会话 ID 进行比较。

为了实现，我需要检查当前会话中是否存在收集的会话ID（密码共享的证明是多个用户同时登录）。

我认为有一个简单的方法可以实现这一目标......

Answer 1

您

// Update current userid/session record with current timestamp
mysql_query("UPDATE sessions SET last_activity = CURRENT_TIMESTAMP() WHERE user = '$username' AND sid = '".session_id()."'");
// Search for multiple records with timestamp in the last 20 minutes where user id is the same
$result = mysql_fetch_assoc(mysql_query("SELECT COUNT(*) AS current_sessions FROM sessions WHERE user = '$username' AND last_activity > '".date('Y-m-d H:i:s', time() - 1200)."'"));
if ($result['current_sessions'] > 1) {
  // handle duplicates here
}

可能不喜欢这种方法，因为它在每个页面加载时涉及两个数据库查询，但它应该可以工作，并且可能比检查会话文件更有效。

Answer 2

按照 CodeCaster 的评论：

对于每个用户连接/断开连接，您应该检查 PHP 会话 ID，而不是检查 PHP 会话 ID。会话过期，维护当前连接的用户列表（可能还有连接时间、IP 等），例如在数据库表中。

因此，您将能够检测单个帐户的多个连接。

您也可以尝试创建一个循环所有会话文件的小脚本（如果您使用默认存储），对其使用“unserialize()”并检查多个会话文件是否具有相同的用户标识符（前提是您存储它们）到 $_SESSION）

编辑：由于应该为每个用户连接执行此操作，因此数据库表方法（如 CodeCaster 建议的那样）似乎更好。

Answer 3

您应该创建自己的会话状态实现，为您的用例所需的操作提供接口。

class SessionState
{
    public function idExists($id)
    {
        $gateway = new SessionGateway();
        $result = $gateways->searchById($id);
        # ... 
    }
}

如果您已经实现了详细信息，则可以在应用程序中使用这些对象。

Answer 4

首先，这是对防止密码共享的方法的一次很好的探索。

我对基于每个请求跟踪用户活动（即 @DaveRandom 提出的 2 个查询解决方案）的本能反应是啊啊啊，不！正如 @CodeCaster 指出的那样，这可能是过早优化的情况，但是，嘿，我们有一个小（几千）但狂热的用户群，他们会对曲棍球赛季的开始和比赛结果的到来感到非常满意。该网站有已经运行了很多年了，不想惹麻烦，这是一项付费服务​​，所以性能必须出色。

好的，解决方案：

apache 用户对会话目录中的会话文件具有读/写权限。通过在登录时记录 session_id，我们就有了锁定共享密码帐户的要素。成功登录后：

- Loop through stored session ids related to target account
- if /path/to/session-id-file not empty, increment login counter
- if login counter exceeds number of users allowed for a given plan:
- delete all session files related to target account
- lock the account and force a password reset

开销最小，实施很简单，问题解决了。

注意：我原本认为在不创建安全循环的情况下不可能访问会话目录文件；然而，事实并非如此（至少在我的 CentOS 5 设置中）。您无法获取与当前用户会话无关的 session_id，但您可以存储给定用户的会话 id 并从任何用户的会话访问存储其会话的会话文件（包括清除文件）。关键是有会话id来查找相应的/path/to/session-file