10

Certo que, em resumo, session_start() "inicia uma nova sessão ou resume uma sessão existente", porém alguns questionamentos:

→ A função só deverá ser chamada uma única vez, após o login do usuário?

→ O porquê de iniciar uma ao realizar login?

→ Qual relação com a variável global $_SESSION?

→ A sua utilização diz respeito à segurança das informações?

→ O que seria dizer: "resume uma sessão existente"?

→ O que o seu uso e o não uso ocasiona em um sistema de autenticação de usuário?

Se for possível, gostaria de um exemplo MVCE

5
  • Onde voce precisa da $_SESSION você deve utilizar a start_session() antes, para poder utilizar
    – LocalHost
    20/01/2017 às 2:01
  • 1
    Sei que as sessões ficam salvas em arquivos. Imagino que antes de dar um start_session, a sessão não é carregada. Não sendo possível utiliza-la $_SESSION.
    – mau humor
    20/01/2017 às 2:01
  • Acredito que todas as suas dúvidas são sanadas com as respostas da pergunta que indiquei ;) 20/01/2017 às 4:19
  • A pergunta é boa, não merece negativo, mas creio que é ampla. Poderia ser fracionada em outras perguntas, na minha opinião. 20/01/2017 às 10:43

2 Respostas 2

23

Uma sessão é o que identifica o usuário. A função do session_start utiliza um arquivo localizado na pasta temporária, (/tmp/) com o nome de sess_*. O * é o mesmo valor do cookie (PHPSESSID) enviado pelo usuário ou do parâmetro contido no url, o método de enviar sessões por parâmetro não é recomendada

Apenas para complementar, as sessões podem NÃO SER AQUIVOS, desde que você use o session_set_save_handler ou crie um outro método de sessão, inclusive para conectar diretamente ao banco de dados, veja neste exemplo, mas logicamente o padrão é o armazenamento em arquivos e portanto não vem ao caso, além disso existem outros tipos de usos de sessões, que não usam o método padrão do PHP


A função só deverá ser chamada uma única vez, após o login do usuário?

Sim. Quando utiliza o session_start() tal função verifica se existe um session_start() anterior e se houver ele impede de existir e por isso somente pode ser chamada uma única vez por "página".


O porquê de iniciar uma sessão ao realizar login?

Isso é feito para que reconheça o usuário, sem a sessão torna-se impossível identificar quem fez o login quando o usuário ir para uma outra página. Quando se utiliza o session_start() é criado (ou utilizado) o cookie de PHPSESSID com um valor que deve ser único, isso permite que o usuário navegue em várias páginas e seja sempre reconhecido pelo mesmo cookie e portanto pela mesma sessão.

<?php
session_start();
// Ele aqui já vai enviar um cookie ao usuário, independente do que ocorrerá.
// Suponha que o cookie seja "ABC".

if($senhaCorreta === true){

   $_SESSION['id'] = 123;
   // Agora a sessão (o arquivo sess_ABC que está no /tmp/) possui um chave "ID" com "123".

}

O usuário neste momento possuirá o cookie de "ABC" que será enviado em todas as requisições feitas no mesmo domínio. No lado do servidor temos um arquivo, de nome sess_ABC que contêm a informação de id igual a 123.


Qual relação com a variável global $_SESSION?

Toda. A array $_SESSIONsomente existirá quando o session_start() for chamado anteriormente. O $_SESSION será utilizado para ler e gravar as informações da respectiva sessão, melhor dizendo, o $_SESSION é usado para ler os dados do arquivo da sessão.


A sua utilização diz respeito à segurança das informações?

Essa é a minha parte preferida! :D

As sessões são mais seguras do que o cookie, mas não são tão distantes assim.

Isso é um caso delicado. A mais obvia de todas seria se alguém tiver acesso aos arquivos das sessões. Se utilizar criptografia no banco de dados e utilizar a senha do usurário para descriptografar e armazena-la na sessão um invasor poderia ter acesso aos dados da sessão na pasta temporária.

Mas, isso é só um problema. O maior problema de todos é você utilizar a sessão de outra pessoa.

O Facebook por exemplo utiliza a sessão c_user, xs e presence para realizar algumas ações.

curl
-H "cookie: c_user=?; xs=?; presence=?" 
-H "user-agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/55.0.2883.87 Safari/537.36"
"https://www.facebook.com/"

Seria o mesmo disso:

document.cookie = "presence=?;";
document.cookie = "xs=?;";
document.cookie = "c_user=?;";

Se o c_user, xs e o presence for compatível com uma sessão aberta você irá, sem fazer o login, ter acesso à conta do usuário. Isso indica que, se você for na casa de alguém, e rapidamente abrir o console F12 e ver o HEADER do Request Headers e enviar o Cookie ao seu e-mail, quando chegar em casa poderá utilizar a sessão que foi aberta, se morar razoavelmente próximo. Eu também fiz uma postagem de um problema do Facebook e também mencionei o uso dos cookie.

Portanto as sessões NÃO SÃO SEGURAS. Uma coisa que pode fazer é obter mais e mais dados do usuário, por exemplo, verificar se o navegador é o mesmo, se o IP é o mesmo, se a localidade da conexão é mesma, até mesmo tentar ver se a resolução de tela do usuário é a mesma.

Por exemplo:

if($_SESSION['seguranca']['ip'] !== $_SERVER['REMOTE_ADDR']){
   session_destroy();
}

Sempre que o usuário alterar o IP irá ser necessário refazer login, poucos websites fazem isso. Uma outra opção é ter um timeout baixo, ou seja rapidamente a sessão irá expirar, bancos e serviços similares é comum isso.

Entretanto isso é um inconveniente, se alguém estiver com um 3G da TI (sabe como é né?!) e a conexão cair e voltar irá possuir outro IP e portanto... é, outro login.

Mas esse é só o problema? Nop, ainda temos algumas:

  1. Gerar sessões alopradamente, em busca de uma já aberta
  2. Prever o próxima sessão que será iniciada, baseado no que obteve.
  3. Self-XSS, usuário injeta um JS e envia as sessões para "alguém"
  4. Man-in-the-middle, interceptação de pacotes

A sessão é um conjunto de número e letras, você pode tentar gerar para acessar a conta de uma pessoa e existe um problema mais complexo que seria a previsibilidade.

Imagine que utilize o seguinte cookie:

PHPSESSID = session01

Qual seria o próximo? Pois é, a possibilidade de ser session02 é quase 100%, então basta aguardar uns minutos, dependo do tráfego do website, para acessarmos a sessão alheia.

Isso também pode ocorrer quando se usa sessões com baixa aleatoriedade. Na verdade gerar algo randômico é extremamente difícil, mas alguns são piores do que outro.

O /dev/random tende a ser mais previsível que o /dev/urandom em algumas plataformas, por exemplo, além disso existe o session.hash_bits_per_character que define uma maior ou menor variação de caracteres, se quiser veja isto e isso. ;)

O sistema operacional coleta entropia (não sei se é o termo correto!) frequentemente, isso é coletado baseado no uso do hardware. Por exemplo, num computador pessoal, o movimento do mouse, o uso dos HDs, a digitação do teclado, pacotes enviados e recebidos na internet (...) essas informações são a base para a aleatoriedade, ou seja você (ou seu software no servidor) é única coisa randômica nesse mundo. Essa aleatoriedade também incluem o nome das sessões. Entretanto, isso é escasso e cada algorítimo irá tentar fazer a alguma coisa quando não há mais entropia necessária, ou simplesmente ignorar gerando dados previsíveis, veja aqui.

Sessões não são invulneráveis, elas também tem (ou podem ter) muitos problemas e você terá que fazer alguma coisa para tentar minimizar isso, mas são mais seguras do que manter tudo num cookie.

Para prevenir "Self-XSS", quando o usuário injeta um código malicioso, sem saber, usando na maioria das vezes o CONSOLE do F12. Em situação comum o JS tem acesso à todos os cookies da página, isso permite que o código obtenha o cookie da sessão e então envie para o servidor externo, controlado pelo "invasor". Para proteger contra isso você deve usar o session.cookie_httponly=1, isso irá impedir que se envie para outro servidor os cookies da sessão e também utilize o session.cookie_secure=1. Como adicional também use o session.use_only_cookies=1, caso contrário alguém pode ter a sessão no parâmetro do URL, assim quando enviar o link para alguém este alguém terá acesso à sessão.

Uma das coisas que pode impedir (ou dificultar) a interceptação de pacotes é somente transmitir os dados em TLS/HTTPS e utilizar o session.use_only_cookies=1 como um adicional para impedir que obtenha a sessão apenas no URL. Além disso utilize subdomínios para conteúdos estáticos (estatico.site.com, img.site.com...) e dessa forma os cookies somente serão enviados para o site.com mas não será utilizado para os subdomínios. Isso irá reduzir o número de requisições que possui a identificação da sessões. Logico, como dito anteriormente, limitar por IP entre outros fatores irá dificultar que alguém utilize a sessão, mesmo que capture-a.


O que seria dizer: "resume uma sessão existente"?

Quer dizer que se existir um cookie de PHPSESSID enviado o pelo cliente o PHP irá utilizar a sessão que foi previamente aberta.

Se você fizer:

curl 
-H "Cookie: PHPSESSID=ABC" 
meusite.com/perfil.php

O meusite irá utilizar o PHPSESSID de ABC, então basicamente você está dando continuidade em uma sessão já aberta.

O que o seu uso e o não uso ocasiona em um sistema de autenticação de usuário?

Se não utilizar o sistema de sessões padrão do PHP você não terá como identificar o usuário, exceto se utilizar outro mecanismo para ter sessões, como por exemplo:

  1. Cookies
  2. Websockets

Você pode salvar tudo em Cookies, do tipo Nome=Inkeliz, mas isso é totalmente inseguro do que utilizar sessões padrões do PHP, porque o usuário tem controle total dos valores que estão salvos. Isso é bom caso tenha um website que não possui sistema de autenticação, SOMENTE. Mas os cookies podem ser melhorados, uma alternativa é criptografar ou assinar um cookie, por exemplo utilizando o JWT:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6IjEiLCJub21lIjoiSW5rZWxpeiJ9.Z3mq41cyKyQzO/aS+6zmHElygGabWCsa3U44Yfpu5RU=

Isso foi gerado usando:

$headers = [
    "alg" => "HS256",
    "typ" => "JWT"
];


$payload = [
    "id" => '1',
    "nome" => 'Inkeliz'
];

$chave = 'sua_senha_legal';

$conteudo = base64_encode(json_encode($headers)) . '.' . base64_encode(json_encode($payload));

$assinatura = base64_encode(hash_hmac('SHA256', $conteudo, $chave, true));

$token = $conteudo . '.' . $assinatura;

Isso quer dizer que se o usuário alterar o id para 2 a assinatura não será igual, isso é similar à assinatura do PGP, para comparação. A assinatura é gerada baseada na senha sua_senha_legal e existem outros tipos de assinaturas (e também criptografias) que podem ser feitas para utilizar como sessão. Isso é um método de sessão, mesmo que não use o sistema de sessão padrão.

O uso de Websockets é mais complexo. Quando o usuário fizer o login irá estabelecer uma conexão persistente com o dispositivo e esta conexão é a ÚNICA coisa que identifica o usuário, sem uso de cookies como identificação. Se o usuário der F5 ou ir para outra página a conexão será interrompida e portanto terá que fazer o login novamente. Ele teoricamente é o mais seguro, porque uma vez que a conexão é criada nenhuma outra pode ser criada com a mesma identificação e se cair a sessão acaba.

Se não utilizar (ou não for possível utilizar) nenhuma das soluções acima e nem mesmo o método de sessão comum será impossível identificar o usuário, de uma forma ou de outra terá que utilizar sessões.

8
  • Top man.... Depois voi tirar um tempo para os links...
    – MagicHat
    20/01/2017 às 4:32
  • Já pensou responder esta pergunta? pt.stackoverflow.com/q/39675/7210
    – Jorge B.
    20/01/2017 às 9:55
  • 2
    Acredito que a informação do .txt esteja equivocada. Se não me engando, esses arquivos são criados sem extensão na pasta temporária. Mas é certo que são criados arquivos temporário para registrar os dados. 20/01/2017 às 11:13
  • @WallaceMaxters editei. É sem extensão mesmo, não sei da onde tirei o .txt.
    – Inkeliz
    20/01/2017 às 11:32
  • 1
    @JorgeB. Irei responder quando tiver tempo, pode utilizar o websocket para isso, quando efetuar o login crie uma id e envia através da conexão. O problema é que toda a ação do usuário, todas as requisições, devem ser feitas pelo websocket, o seu site deve ser "tudo em uma única página", porque o usuário não pode sair dela.
    – Inkeliz
    20/01/2017 às 11:46
-3

→ A função só deverá ser chamada uma única vez, após o login do usuário?

Neste contexto, a sessão não tem nada a ver com o usuário fazer login ou não.

Uma sessão de servidor inicia quando um usuário entra no site. Neste momento, o servidor reserva um espaço na memória, onde guarda informações de estado da sessão, de forma que mesmo trocando de páginas, as informações da sessão são mantidas.

A função session_start() é usada para que seu código tenha acesso à variável de sessão $_SESSION, por isso, só precisa ser chamada uma vez.

É como dizer ao servidor que quer acesso à sessão deste usuário.

→ O porquê de iniciar uma sessão (https://pt.stackoverflow.com/tags/session/info) ao realizar login?

Quanto um usuário faz login, a sessão que ele inicia ocorre no nível da aplicação e é controlado por ela. Não tem nada a ver com a sessão do servidor, que foi iniciada quando ele entrou no site.

No entanto, o aplicativo irá usar a sessão do servidor para guardar informações do login, assim, o sistema lembra que o usuário logou.

→ Qual relação com a variável global $_SESSION?

$_SESSION é um array que armazena as informações da sessão. session_start() permite o acesso ao seu conteúdo.

Note que a sessão vai existir de qualquer forma.

→ A sua utilização diz respeito à segurança das informações?

Cada usuário inicia uma sessão privada quando entra no site. Um usuário não tem acesso às informações de outro. No entanto, a aplicação pode ter acesso às informações de todas as sessões.

Por exemplo, o recurso 'quem está online' que alguns aplicativos possuem vai usar as variáveis de sessão pra ter acesso a informações como qtde. de usuários conectados no site, IP, etc.

→ O que seria dizer: "resume uma sessão existente"?

Uma sessão de servidor tem um ciclo de vida. Inicia quando um novo visitante entra no site e dura um tempo, após ele ter deixado o site.

Porém, se ele voltar ao site, dentro do tempo de vida da sessão, ele reinicia (resume).

→ O que o seu uso e o não uso ocasiona em um sistema de autenticação de usuário?

Muitos sistemas usam a sessão para controlar a autenticação. De outra forma, você teria de passar uma variável de página a página e isso seria bem arriscado.

Mais informações em http://php.net/manual/pt_BR/reserved.variables.server.php

8
  • Gostaria de entender essa parte :"Uma sessão de servidor inicia quando um usuário entra no site. " Essa sessão a que se refere é diferente da inicializada com session_start() ?
    – MagicHat
    20/01/2017 às 4:33
  • A sessão é uma coisa do servidor. Quando vc entrou neste site, iniciou uma sessão. Isso SEMPRE acontece. Agora, se o php quiser acessar alguma destas informações que são gravadas em $_SESSION, precisa chamar a session_start(). session_start() não inicia a sessão, mas o acesso do código às variáveis de sessão.
    – Rene Freak
    20/01/2017 às 4:39
  • Ai que me vem a dúvida (note não estou a testá-lo, quero entender, pois é relevante para mim, esse ponto), se as sessões são gravadas em um arquivo e eu tiver acesso a pasta tmp mesmo sem inicializar a sessão com session_start() eu vou ter um session_id() armazenado nesse arquivo ?
    – MagicHat
    20/01/2017 às 4:54
  • Fique a vontade. Estamos aqui pra aprender. Se fosse um teste eu não teria passado... Não tinha ideia de onde estas informações são gravadas. Nunca sequer pensei sobre isso. Até porque, talvez pode ser que uma configuração do servidor mude o local de armazenamento da sessão. Não sei. A resposta do Inkeliz está super completa, mas pode confundir. Se você está usando php, é bem mais simples, dar um session_start() e ter acesso às informações da sessão.
    – Rene Freak
    20/01/2017 às 5:07
  • 2
    @MagicHat já expliquei isso aqui em algum lugar. Quando a sessão é iniciada, um cookie é salvo no navegador com o session_id. Esse id é utilizado para acessar um arquivo na pasta /tmp do seu servidor, que contém um código gerado pela função serialize. O PHP usa unserialize quando você acessa as informações de $_SESSION para poder obter esse arquivo. Há uma ponte entre servidor e cliente (arquivo e cookie) para essas informações existirem. 20/01/2017 às 11:10

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .