Zend Framework 不活动后自动注销

Question

我正在开发一个包含多个子应用程序的应用程序，我想在 30 分钟不活动后实现自动注销。我有一个 AuthController，其中登录和注销操作使用 Bootstrap.php 映射到自定义 /login 和 /logout 路由，以及前端控制器插件，如下所示：

class Plugin_SessionTrack extends Zend_Controller_Plugin_Abstract {

    public function preDispatch(Zend_Controller_Request_Abstract $request)
    {  

        $employeeSession = new Zend_Session_Namespace('employeeSession');
        $employeeSession->setExpirationSeconds(10);

    }
}

我是 PHP 和 Zend 的新手，到底发生了什么10 秒后会话？我将其设置为低以进行测试。我希望发生的是，如果通过前端控制器插件的最后一次请求的时间大于 30 分钟前，则销毁会话并注销用户并将其重定向到 /login。

我可以明显看到，我没有跟踪最后一个请求的时间，但我希望每次用户通过此 preDispatch 方法发出请求时，setExpirationSeconds 都会刷新。

也许需要使用cookie？我不需要实际启动注销操作，它可以在用户下次发出请求时处理，如果他们在过去半小时内没有执行任何操作，会话将被销毁并且他们将被注销，这意味着如果我离开 45 分钟，我的屏幕看起来仍然相同，但如果我单击链接或尝试提交我创建的表单，它会将我发送到 /login。我稍后可以担心某种类型的 JS 倒计时警告。

编辑：如果有人想看的话，这是我的引导程序：

class Bootstrap extends Zend_Application_Bootstrap_Bootstrap
{
    /**
     * Custom routes:
     * 
     * /login
     * /logout
     */
    protected function _initRoutes()
    {

        $router = Zend_Controller_Front::getInstance()->getRouter();

        $loginRoute = new Zend_Controller_Router_Route('login', array('controller' => 'auth', 'action' => 'login'));

        $logoutRoute = new Zend_Controller_Router_Route('logout', array('controller' => 'auth', 'action' => 'logout'));

        $routesArray = array('login' => $loginRoute, 'logout' => $logoutRoute);

        $router->addRoutes($routesArray);

    }

    protected function _initPlugins()
    {

        $frontController = Zend_Controller_Front::getInstance();
        $frontController->registerPlugin(new Plugin_SessionTrack());

    }
}

Answer 1

当你调用 Zend_Session::setExpirationSeconds(10) 时，10 秒后会话实际上没有发生任何事情。

这个调用导致 Zend_Session 存储一个内部值，标记该会话名称空间，以便从调用时起在 time() + $seconds 时过期。每次 Zend_Session 启动时，它都会检查是否有任何会话数据被标记为过期，如果是，则继续检查过期时间或跳数是否已过。如果是这种情况，则相关会话数据在初始化时会被取消设置，因此您的应用程序将无法再访问该数据。

如果您在每个请求开始时进行此调用，则它应该在每次页面加载时继续将会话的生命周期延长那么多秒。

请记住，如果 php.ini 中的会话设置设置为在 15 分钟后使会话过期，则将命名空间设置为在 60 分钟后过期将不会覆盖 PHP 的会话生命周期为 15 分钟。您可以在 application.ini 文件中对 PHP 会话指令进行此类调整。

在命名空间上设置过期时间还具有自动删除某些会话数据而不必销毁整个会话的优点。

我不知道您的应用程序的具体情况，但您可以使用该插件来检查它们是否已注销并将请求转发到您的登录页面。您可以在创建命名空间后检查是否有效登录，但您还需要确保当前请求不是登录尝试。或者您可以推迟检查插件中的有效登录，并让您的 ACL 稍后在控制器级别处理该问题。

您可能还想查看 Zend_Auth，您可以使用它来在会议。身份可以是任何内容，从指示他们是否登录的简单布尔值到实现 Zend_Acl_Role_Interface 的完整用户对象。 Zend Auth 还可以轻松扩展，因此您可以通过为每个实例使用不同的命名空间来同时激活多个 Zend_Auth 会话，并且可以让您的自定义身份验证类在不同的会话命名空间上设置不同的时间限制。

希望我的回答对您的问题有所帮助，如果您对我所说的有疑问，请随时发表评论。

编辑：

我测试了以下代码，它在设定时间后成功使我的 Zend_Auth 身份过期。我用 60 秒对其进行了低测试，等待 60 秒加载页面后，我不再拥有身份并被“注销”。您可以将其添加到您的会话跟踪插件中。

<?php
$auth = Zend_Auth::getInstance();

if ($auth->hasIdentity()) { // user is logged in
    // get an instance of Zend_Session_Namespace used by Zend_Auth
    $authns = new Zend_Session_Namespace($auth->getStorage()->getNamespace());

    // set an expiration on the Zend_Auth namespace where identity is held
    $authns->setExpirationSeconds(60 * 30);  // expire auth storage after 30 min
}