session和cookie机制及laravel框架下相关应用

1、cookie的由来

  当用户访问某网站时，web服务器会将部分信息保存到本地计算机上，当用户再次关顾该网站时，服务器会去查看用户是否登陆过该网站，若是登陆过，就会将这些记录在本地的信息发送到网页上展现出来，这就是cookie存在的意义。

  那么服务器如何识别用户呢？众所周知，http协议是无状态链接，所谓无状态链接是指浏览器每次向服务器发起请求的时候，不是经过一个链接，而是每次都创建一个新的链接。若是是一个链接的话，服务器进程中就能保持住这个链接而且在内存中记住一些信息状态。而每次请求结束后，链接就关闭，相关的内容就释放了，因此记不住任何状态，成为无状态链接。基于http协议的服务器，针对于不一样的链接，服务器没法识别这些链接都出自同一个用户只手，因而cookie应运而生。

  当第一次访问服务器时，http报文中是没有cookie的，这时服务器在响应（response)下行HTTP报文中，命令浏览器携带cookie信息；浏览器再访问同一个域的时候，将把cookie信息携带到请求（request）上行HTTP请求中，从而实现了HTTP模拟有了状态。

  总结一下，cookie其实是一小段的文本信息。客户端请求服务器，若是服务器须要记录该用户状态，就使用response向客户端浏览器颁发一个Cookie。客户端会把Cookie保存起来。当浏览器再请求该网站时，浏览器把请求的网址连同该Cookie一同提交给服务器。服务器检查该Cookie，以此来辨认用户状态。服务器还能够根据须要修改Cookie的内容。

2、cookie的内容及特色

  cookie主要内容：名字、值、域、路径和过时时间

1. Name和Value属性由程序设定,默认值都是空引用
2. Domain属性的默认值为当前URL的域名部分，无论发出这个cookie的页面在哪一个目录下的
3. Path属性的默认值是根目录，即 ”/” ，无论发出这个cookie的页面在哪一个目录下的。能够由程序设置为必定的路径来进一步限制此cookie的做用范围
4. Expires属性，这个属性设置此Cookie 的过时日期和时间

  当Expires属性未设置时，浏览器网页关闭后，cookie自动消失，称之为会话cookie，会话cookie存在于内存中，而非本地的硬盘里；若设置了过时时间，浏览器就会把cookie保存到硬盘上，关闭后再次打开浏览器，这些cookie仍然有效直到超过设定的过时时间。存储在硬盘上的cookie能够在浏览器的不一样进程间共享。

cookie特色：

• cookie不加密，能够随意篡改，所以很不安全
• 不一样域之间不能共享cookie
• cookie大小受到限制，以下图所示

3、session的出世

  为了弥补cookie不安全性这一致命缺点，session的机制产生了，session是另外一种记录客户状态的机制，不一样的是cookie保存在客户端浏览器中，而session保存在服务器上。客户端浏览器访问服务器的时候，服务器把客户端信息以某种形式记录在服务器上，这就是session。

  当用户链接服务器时，服务器都会创建一个session，服务器经过session_id来识别是哪一个用户访问。当用户创建一次会话(session)时，能够在用户受权成功时给他一个惟一的cookie，当一个用户提交了表单时，浏览器会将用户的SessionId自动附加在HTTP头信息中，当服务器处理完这个表单后，将结果返回给SessionId所对应的用户。

  总结一下，session是通过加密的，比cookie更安全，session的建立流程以下：当为客户端请求建立session时，服务器首先检查请求中是否含有session_id，若是有，则服务器会在将session_id检索出来，若是服务器没有存储session_id，则建立一个session_id；若是没有，则为此客户端建立一个session而且生成一个与此session相关联的sessionId，sessionId的值是一个既不会重复，又不容易被找到规律以仿造的字符串，这个sessionId将被在本次响应中返回给客户端保存。

4、cookie与session的异同

  不少人说cookie和session就是一回事儿，区别在于用户是否可见。我也比较认同此观点，做为session的载体，cookie保存于本地浏览器中，易操做，易存储，可有效的提升服务器性能（不占内存），但cookie有明文不安全，大小受限制等缺点； session保存于服务器缓存中，加密，session_id大小不受限制，但影响服务器性能。

  说到cookie和session的联系，就不得不提到禁用cookie了，在客户端浏览器设置里，用户是能够禁用cookie的，由于cookie是session_id的载体，因此一旦cookie被禁用，那么session也就没法使用。可是有两种方法能够解决依赖问题，其一是URL重写，简单的说就是在url地址中加入session_id参数，其二是表单隐藏字段，服务器会自动修改表单，添加一个隐藏字段，以便在表单提交时可以把session_id传递回服务器，以下所示：

  另外一个联系是session共享，对于多网站(同一父域不一样子域)单服务器，咱们须要解决的就是来自不一样网站之间session_id的共享。因为域名不一样(aaa.test.com和bbb.test.com)，而session_id又分别储存在各自的cookie中，所以服务器会认为对于两个子站的访问,是来自不一样的会话。解决的方法是经过修改cookies的域名为父域名达到cookie共享的目的,从而实现session_id的共享。带来的弊端就是，子站间的cookie信息也同时被共享了。

5、laravel下的相关应用

session应用

  在config/session.php中配置以下：

'driver' => env('SESSION_DRIVER', 'file'),
    'lifetime' => 120,
    'expire_on_close' => false,
    'encrypt' => false,
    'files' => storage_path('framework/sessions'),
    'connection' => null,
    'table' => 'sessions',
    'lottery' => [2, 100],
    'cookie' => 'laravel_session',
    'path' => '/',
    'domain' => null,
    'secure' => false,
];

  driver配置项用于设置Session存储方式，默认是file，即存储在文件中，该文件位于files配置项配置的路径，即storage/framework/sessions。此外Laravel还支持其它存储方式：

• database：将Session数据存放到指定数据表中，该数据表由配置项table设置
• memcached：将Session数据存放到Memcached中
• redis：将Session数据存放到Redis中
• array：将Session数据存放到数组中，该配置仅用于测试环境要修改driver配置，须要去项目根目录下.env文件修改其中的SESSION_DRIVER选项。

lifetime配置项用于设置Session有效期，默认为120分钟。
expire_on_close配置项用于设置是否在浏览器关闭时当即让Session失效。
encrypt配置项用于配置Session数据是否加密。
lottery配置项用于配置回收Session存放位置。
cookie配置项用于配置存放Session ID的Cookie名称，默认是laravel_session。
path配置项用于配置存放Session ID的Cookie存放路径，默认为项目根目录。
domain配置项用于配置存放Session ID的Cookie存放域名。
secure配置项用于配置是否只有在HTTPS协议下发送Session ID到服务器。

使用session函数

session(['site.xxx'=>'LaravelAcademy.org']);
$site = session('site');
dd($site);

使用request请求

咱们能够以这种方式获取全部Session数据：

$sessions = $request->session()->all();

咱们能够像这样存取Session数据：

$request->session()->put('site', 'http://LaravelAcademy.org');
if($request->session()->has('site')){
    $site = $request->session()->get('site');
    dd($site);
}

此外还能够这样获取Session数据（若是对应Session不存在，返回默认值）：

$sitename = $request->session()->get('sitename','Laravel学院');
dd($sitename);

此外还可使用push方法推送多个数据到Session数组：

$request->session()->push('site.xxx', 'http://LaravelAcademy.org');
$request->session()->push('site.xxx', 'Laravel学院');
if($request->session()->has('site')){
    $site = $request->session()->get('site');
    dd($site);
}

使用pull方法，获取数据后删除
使用flush方法，一次性删除全部session数据
使用forget方法，删除某个session数据

一次性session

若是想保证一次性Session数据有效，能够定义TestController@sessionx代码以下：

public function sessionx(Request $request){
    $request->session()->reflash();
    $message = session('message');
    echo $message;
}

这样无论怎么刷新Session数据始终有效。此外还能够指定哪些Session数据有效：

$request->session()->keep(['message']);

你们也能够自行编译laravel代码：

class Middleware implements HttpKernelInterface
{
    ...
    public function handle(Request $request, $type = HttpKernelInterface::MASTER_REQUEST, $catch = true)
    {
        $this->checkRequestForArraySessions($request);
        if ($this->sessionConfigured()) {
            $session = $this->startSession($request); // 启动session
            $request->setSession($session);
        }
        $response = $this->app->handle($request, $type, $catch); // 调用controller的method
        if ($this->sessionConfigured()) {
            $this->closeSession($session);         //关闭session
            $this->addCookieToResponse($response, $session);
        }
        return $response;
    }
    ...
 
    protected function closeSession(SessionInterface $session)
    {
        $session->save();    // 保存session
        $this->collectGarbage($session);
    }
}

cookie应用

添加Cookie

例如，咱们须要在控制器中设置一个"Hello, Laravel"的cookie值，并设置有效期为10分钟。这里推荐使用cookie的队列方法Cookie::queue()，由于这样Cookie会自动添加到响应：

<?php

namespace App\Http\Controllers;
use Cookie;
use App\Http\Controllers\Controller;

class DashboardController extends Controller
{

    public function index()
    {
        Cookie::queue('younger', 'Hello, dayang', 30);
        return view('welcome');
    }
}

获取Cookie

Cookie的使用离不开Response和Request。获取Cookie的值有两个层面，一个是服务端，另外一个是客户端。若是要服务端获取到Cookie的值，就须要从Request中得到：

public function index(Request $request)
{
    $cookie = $request->cookie('younger');
    dump($cookie);
}

若是想得到全部Cookie的值，可使用不传参数的方法：

public function index(Request $request)
{
    $cookies = $request->cookie();
    dump($cookies);
}

清除Cookie

清除Cookie的方法比较简单，原理和设置Cookie同样的，只是将过时时间设置成了过去。这里也须要将Cookie加入到HTTP的Response中，使用make()或者forget()方法都可：

方式一：
 \Cookie::queue(\Cookie::forget('younger'));
或 \setcookie('younger', '', -1, '/');
方式二：
$cookie = Cookie::forget('younger');
//return Redirect::route('index')->withCookie($cookie);

参考博文

https://segmentfault.com/a/11...
http://www.cnblogs.com/endles...
http://blog.csdn.net/sundache...
http://blog.csdn.net/proglove...
https://www.zhihu.com/questio...
http://laravelacademy.org/pos...
http://www.cnblogs.com/phpper...