Vamos lá
Adicione uma tabela ao seu banco de dados, seguindo o modelo abaixo. Ela ficará responsável por gerenciar as sessões abertas.
Altere a validação que você já tem, e troque pelo código abaixo. Lembre-se de fazer as modificações necessárias para o funcionamento com sua aplicação.
<?php
$host = 'localhost';
$db = 'banco';
$user = 'root';
$pass = '';
$charst = 'utf8';
$pdo = new PDO("mysql:host={$host};dbname={$db};charset={$charst}", $user, $pass);
if (!isset($_SESSION['session_id'])) {
$idAutenticado = false;
while ($idAutenticado === false) {
$novoID = rand();
$consultarID = $pdo->prepare("SELECT `session_id` FROM `sessoes_abertas` WHERE `session_id` = :session_id");
$consultarID->bindValue(':session_id', $novoID);
$consultarID->execute();
if ($consultarID->rowCount() === 0) {
$idAutenticado = true;
}
}
$cadastrarID = $pdo->prepare("INSERT INTO `sessoes_abertas` (`session_id`, `last_activity`, `logout_time`) VALUES (:session_id, :last_activity, :logout_time)");
$cadastrarID->bindValue(':session_id', $novoID);
$cadastrarID->bindValue(':last_activity', time());
$cadastrarID->bindValue(':logout_time', time() + (30 * 60));
$cadastrarID->execute();
$_SESSION['session_id'] = $novoID;
} else {
$validarID = $pdo->prepare("SELECT * FROM `sessoes_abertas` WHERE `session_id` = :session_id AND `last_activity` >= :last_activity AND `logout_time` <= :logout_time");
$validarID->bindValue(':session_id', $_SESSION['session_id']);
$validarID->bindValue(':last_activity', (time() - (5 * 60)); //Permite até 5 minutos de inatividade
$validarID->bindValue(':logout_time', (time() + (30 * 60)); //30 minutos de duração pra sessão
$validarID->execute();
if ($validarID->rowCount() === 0) {
unset($_SESSION['session_id']);
header('Location: ./');
}
}
Agora temos que implementar a função AJAX que será responsável por atualizar o campo last_activity, dessa forma podemos garantir que o usuário está ativo.
Obs: o tempo de inatividade é definido na primeira parte do código, onde está comentado.
Inclua o jQuery no seu projeto
<script src="https://ajax.googleapis.com/ajax/libs/jquery/2.2.0/jquery.min.js"></script>
É possível fazer sem jQuery, usando JavaScript puro, o que seria mais recomendável caso sua aplicação não use o jQuery para outras funcionalidades, mas como não entendo quase nada de JS, vou deixar pra outra pessoa.
O código abaixo irá fazer requisições a um script PHP (que iremos criar mais adiante) a cada intervalo de tempo.
<script>
function attLastActivity() {
$.ajax({
url: 'last-activity.php',
type: 'GET',
data: '',
success: function(data) {
//Essa função é disparada caso a requisição dê certo, se quiser implementar alguma funcionalidade, edite aqui.
},
beforeSend: function() {
//Função disparada antes de fazer a requisição.
}
});
}
setInterval(attLastActivity, 30000); //Faz uma requisição a cada 30 segundos
</script>
Crie um arquivo PHP que irá receber as requisições AJAX, o nome do arquivo deve ser last-activity.php
e adicione o código abaixo.
?php
if (isset($_SESSION['session_id'])) {
$host = 'localhost';
$db = 'banco';
$user = 'root';
$pass = '';
$charst = 'utf8';
$pdo = new PDO("mysql:host={$host};dbname={$db};charset={$charst}", $user, $pass);
$lastActivity = $pdo->prepare("UPDATE `sessoes_abertas` SET `last_activity` = :last_activity WHERE `session_id` = :session_id");
$lastActivity->bindValue(':last_activity', time());
$lastActivity->bindValue(':session_id', $_SESSION['session_id']);
$lastActivity->execute();
}
Concluindo
Se o usuário fechar a aba, e ficar 5 minutos sem voltar, ele perde a sessão. Esse tempo pode ser personalizado na primeira parte.
Dessa forma, você terá que quer, mas todos os registros irão continuar no banco e, dependendo da quantidade de acessos a sua aplicação, isso pode ficar muito grande e reduzir o desempenho do banco de dados, portanto, você também pode criar funções para deletar as IDs que expiraram.
Recomendo que faça isso utilizando cron jobs (se estiver em ambiente Linux).
Vale ressaltar que não é obrigatório usar PDO para conectar-se ao banco de dados, isso depende da sua aplicação.
É isso, lembre-se que o código deve ser modificado conforme suas necessidades.
$_SESSIONS
não são destruídas somente quando o navegador é fechado! Pode-se abrir e fechar o navegador diversas vezes e ele não vai destruir o cookie da sessão se estiver marcada a opção de continuar de onde parei. É só uma observação!