6

O que acontece quando o tempo da Sessão expira ? (Tempo esse que geralmente é 24 minutos por padrão).

Exemplo: Ao fazer login setamos as credenciais de um determinado usuário na $_SESSION, com os dados resultantes de um SELECT (uma consulta) feita no banco de dados, conforme abaixo:

$_SESSION["id_usuario"] = $retorno_select["id"];
$_SESSION["nome"] = $retorno_select["nome"];
$_SESSION["email"] = $retorno_select["email"];
$_SESSION['usuario'] = $retorno_select['usuario'];
$_SESSION["departamento-usuario"] = $retorno_select["departamento"];
$_SESSION['permissao'] = $retorno_select['permissao_acesso'];

Então, em todas as página que eu quero verificar a permissão de acesso do usuário, ou utilizar algum dado do usuário (como até mesmo um simples "Bom dia, $_SESSION['nome']"), eu dou um session_start() para iniciar essa Sessão.

Minha dúvida é a seguinte: ao acabar esses 24 minutos (tempo de duração padrão da SESSION) o que acontece com esses dados que foram setados ? Como esse abaixo por exemplo:

$_SESSION["nome"] = $retorno_select["nome"];

Essa $_SESSION["nome"], e todas os outras que foram criadas, são destruídas ? Os valores que foram passados para elas são apagados e elas continuam ativas?

O que acontece com a SESSION se ela expirar e eu der um F5 (refresh) na página e essa página tiver um session_start() ?

O que acontece se a SESSION tiver um tempo de vida de 24 minutos e, quando ela tiver com 15 minutos eu der um F5 (refresh) na página ? O seu contador continua a contagem a partir de 15 minutos ou esse contador é zerado e recomeça novamente ?

O que acontece quando fazemos um requisição AJAX em um arquivo .php que tem um session_start() nele ? O tempo de vida da SESSION é reiniciado ?

Como fazemos via código PHP para aumentar o tempo de uma sessão criada ? Por exemplo, entramos em uma página, a sessão está "correndo" (já com um tempo de vida de 15 minutos) sendo que a sessão tem aquele padrão de vida útil de 24 minutos. Então queremos aumentar esse tempo de vida de 24 minutos para 1 hora. Como faríamos no arquivo da página ? Poderia ser também definir esse aumento de tempo "padrão" na hora que iniciamos a sessão e preenchemos ela com os dados do usuário.

Depois da SESSION ter expirado (ter passado os 24 minutos), o que acontece, por exemplo, se eu entrar entrar em um arquivo, der um session_start() e executar um dos comandos abaixo?

session_start();

if(isset($_SESSION["nome"])){
   return true;             
}
else{
   return false;
}

Ou:

session_start();

if(empty($_SESSION["nome"])){
   return true;             
}
else{
   return false;
}

Ou:

session_start();

if($_SESSION["nome"]){
   return true;             
}
else{
   return false;
}
2
  • Obrigado pela edição, @hkotsubo. Eu me enrolo todo ao postar códigos PHP aqui. 23/04/2020 às 16:53
  • 1
    Ajax ou requisição normal pro back-end é tudo HTTP, ele não entende totalmente a diferença do que ocorre no teu front, por isso expliquei na resposta sobre o LOCK, indiquei o link pt.stackoverflow.com/a/57827/3635 e falei a respeito, de como vai liberando só conforme outra conclui, ou seja, sendo ajax ou normal, vai ser HTTP e o ajax só vai carregar quando a página principal concluir o uso da sessão. 28/04/2020 às 1:48

2 Respostas 2

11
+100

A sessão é mantida em um arquivo, o que você tem no "front-end" (no programa cliente, como navegador) é um COOKIE com uma chave para a sessão, quando o SESSION ultrapassa o tempo limite de vida o GC (https://www.php.net/manual/en/session.configuration.php#ini.session.gc-maxlifetime) irá considerar como o arquivo "potencialmente/provavelmente" para eliminação.

O GC não vai eliminar exatamente no tal tempo, ou desconsiderar, ele vai também depender de:

Isto já vem com valores padrões, mas você também pode configurar a partir do PHP7 com o primeiro parametro de session_start:

session_start ([ array $options = array() ] ) : bool

Você poderia forçar uma limpeza de sessão forçando o GC e depois executando o session_destroy, assim:

<?php
session_start();

...


session_gc();
session_destroy();

Mas creio que isto internamente é extremamente trabalhoso, fora que isto pode ocasionar problemas com conexões concorrentes, mesmo que as sessões usem LOCK, existe a possibilidade de ocorrer a chamada condição corrida, então realmente usar session_destroy() ou forçar algo que é trabalhoso internamente como o GC é consumir e atrapalhar mais do que o necessário seus proprios scripts.

Eu sugiro que se tem a intenção de evitar que certos dados continuem, você poderia simplesmente definir uma flag no proprio $_SESSION referindo que aquilo deve estar "morto", em minhas situações costumo só criar uma chave dentro de $_SESSION para informar quando foi a ultima atualização e se ele estiver fora do tempo limite então eu o desconsidero, mas não vou entrar em detalhes sobre isto, porque meio que depende do que você deseja fazer.

Há também quem faça uso do session_regenerate_id() para trocar a sessão do usuário por uma nova, mas isto não invalida a segunda, para "invalidar" seria o caso de usar assim session_regenerate_id(true), mas isto também terá problema de condição corrida, claro que ninguém está proibindo de usar isto, mas é preciso entender que é problematico, fora que a exclusão imediata dos dados da sessão também DESATIVA a detecção e prevenção de ataques de sequestro de sessão, ou seja, mais problemas.

Ao meu ver o melhor é controlar o acesso a sessão por tempo/timestamp, pois acaso alguém acesse acidentalmente (ou "sequestre" um COOKIE com a chave de uma sessão antiga) dados antigos com o timestamp você poderia determinar que aquilo é invalido.

Preciso ressaltar um detalhe sobre o que é o LOCK, quando estamos gravando dados em uma sessão o arquivo é travado, se você acessar multiplas páginas, por exemplo 10 páginas ao mesmo tempo, com a mesma sessão enquanto a primeira estiver carregando e usando a sessão as demais 9 páginas irão ficar "travadas" e "carregando", até que a primeira página libere a sessão, então a segunda página vai continuar o carregamento, mas as demais 8 páginas continuarão esperando, como expliquei em:


O refresh na página

O refresh na página creio que se refere ao F5 ou Ctrl+F5 (Cmd+F5) na maioria dos navegadores, isso é totalmente irrelevante para a sessão, não tem como exatamente o back-end entender tudo que é feito no programa cliente (navegador), o refresh é mais uma ação no cliente e não no back-end, basicamente ele interrompe/cancela a requisição HTTP e faz uma nova requisição semelhante, apenas isso, o processo é todo HTTP, a sessão continuará lá, o PHP até entende as vezes um cancelamento prévio por parte do usuário através do SAPI (apache, ngnix, etc) e pode cancelar o seu script PHP, mas no final de qualquer forma quando seu "script morrer" (finalizar) a unica coisa que vai ocorrer é algo semelhante a função session_write_close(), que irá gravar o que estava na "memória", pois como expliquei no link anterior (sobre LOCK+sessão), os dados só são gravados ao final ou com session_write_close().

Mesmo com Ajax ou qualquer outra coisa o PHP não tem como saber exatamente o que ocorre no seu cliente, as sessões são gerenciadas no back-end, pelo seus scripts e pelo GC, em páginas web quase tudo é HTTP, mais ou menos isso:

  1. Navegador requisita
  2. Servidor (apache/ngnix/etc)
  3. SAPI comunica com o PHP
  4. PHP processa
  5. PHP devolve pro SAPI (servidor)
  6. Servidor envia download da resposta
  7. Navegador faz o download da resposta que esta recebendo

Limpar os cookies do seu navegador também não vai influenciar em nada, porque como eu disse já, os cookies de sessão são apenas para armazenar as chaves da sessão, que cuida de eliminar as sessões ociosas é o GC, e isto é algo que não temos controle e nem deveríamos ter.

A sugestão de "invalidar" a sessão foi a que sugeri, uma flag ou timestamp.

16
  • Obrigado pela resposta. Agora vou esclarecer alguns pontos aqui pelos comentários. Então pelo que entendi da sua resposta. o tempo de vida de uma Sessão vai ser sempre o mesmo, independente de F5 na página (isso não reinicia a sessão, correto ?). Se a sessão está com 15 minutos de vida e você dá um F5, então ela continua com os mesmos 15 minutos. 28/04/2020 às 17:07
  • @Gambi sim, foi o que eu comentei, o F5 ocorre no cliente-side e eu disse: "não tem como exatamente o back-end entender tudo que é feito no programa cliente (navegador), o refresh é mais uma ação no cliente e não no back-end", o que esta no back é no back, F5 é no cliente, logo creio que ficou claro que uma ação no cliente não pode interferir que algo exclusivo do back-end. A unica coisa que elimina sessões do servidor é session_destroy ou o GC. Reforço também que seja ajax ou normal, é tudo HTTP, ou seja pro backend ele não saba a diferença. 28/04/2020 às 17:10
  • 1
    @Gambi não, esta totalmente errado, session_start não zera nada, em nenhum momento eu disse que zera, não sei de onde tirou isso.... O session_start apenas inicia o acesso a uma sessão existente e se não existir a criará, ele coloca o arquivo da sessão que esta no back-end em LOCK, impedindo que outras paginas o acessem até q ele libere, as demais páginas ficam travadas, tá tudo explicado na resposta. 28/04/2020 às 17:34
  • 3
    @Gambi PS: se o upvote na outra resposta foi seu devo lhe dizer que a outra resposta não poderia estar mais errada, e não estou dizendo um pouco errada, ela esta é completamente errada. Eu comentei abaixo, dar up em respostas erradas assim é apoiar para futuros visitantes aprenderem o errado ao invés do certo. 28/04/2020 às 17:35
  • 1
    @Gambi como eu disse, o q vc perguntou vai além, é complicado formular um exemplo, a ideia de invalidar sessões eu já sugeri, se eu tiver tempo, no FDS formulo algo com calma que funcione e seja testado, tem coisa que não é receita de bolo, não é só sugerir aqui, em breve retorno com algo ;) 29/04/2020 às 23:42
0

Dentre as opções que você questionou (ISSET, EMPY ou IF() ) . É recomendado usar if(isset($_SESSION["nome"])) , pois as variáveis deixam de existir, se você utilizar EMPTY() estará testando se elas estão vazias, e dependendo da versão do seu PHP o if($_SESSION["nome"]) não vai funcionar.

Se sua sessão expirou o servidor vai mostrar uma mensagem de erro quando tentar buscar a sessão pelo id que estará registrado no seu navegador.

O default é que o F5 não destrua a sessão, se isto estiver acontecendo na parte do cliente, SUGIRO que seja alguma configuração do navegador. Já aconteceu comigo problema na sessão por conta de plugins instalados.

Um exemplo explicativo de como funciona numa página de login de um site.

  1. O usuário submete o formulário de login, um servidor do outro lado autentica a solicitação validando as credenciais.
  2. Se as credenciais inseridas pelo usuário forem válidas, o servidor criará uma nova sessão. O servidor gera um número aleatório exclusivo, chamado de ID da sessão. Ele também cria um novo arquivo no servidor, usado para armazenar as informações específicas da sessão.

  3. Em seguida, um ID de sessão é passado de volta ao usuário, juntamente com qualquer recurso solicitado. Nos bastidores, esse ID de sessão é enviado no cookie PHPSESSID no cabeçalho de resposta.

  4. Quando o navegador recebe a resposta do servidor, ele se depara com o cabeçalho do cookie PHPSESSID. Se os cookies forem permitidos pelo navegador, ele salvará esse cookie PHPSESSID, que armazena o ID da sessão passado pelo servidor.

  5. Para solicitações subsequentes, o cookie PHPSESSID é passado de volta ao servidor. Quando o servidor encontrar o cookie PHPSESSID, ele tentará inicializar uma sessão com esse ID de sessão. Isso é feito carregando o arquivo de sessão que foi criado anteriormente durante a inicialização da sessão. Inicializará a variável de matriz super global $ _SESSION com os dados armazenados no arquivo da sessão.

6
  • Caro Bartollo sobre isto que disse: "O default é que o F5 não destrua a sessão, se isto estiver acontecendo sugiro que seja alguma configuração do navegador." e desde quando ações o client-side afetam diretamente arquivos dentro dos servidores? Se a sessão não esta existindo é porque tem algo mal configurado, porque no uso correto o unico meio de eliminar a sessão é no script do servidor ou acaso tenha expirado conforme configurações DEFINIDAS. E não entendi porque recomendou É recomendado usar if(isset($_SESSION["nome"])), o autor já esta usando isset. 28/04/2020 às 16:23
  • Em web tudo é HTTP, recomendo que leia: pt.stackoverflow.com/a/448297/3635 28/04/2020 às 16:23
  • Caro Bartollo, SessionStorage não tem nada haver com sessão do PHP. 28/04/2020 às 16:26
  • Obrigado pelas ponderações @GuilhermeNascimento , fiz algumas correções para ajustar o entendimento ao que eu queria expressar com o texto. Alterei tb a imagem!
    – Bartollo
    28/04/2020 às 16:59
  • Essa imagem ai também não tem nada haver com sessão do php, isso ai se refere a "sessão de abas", que nada tem haver com HTTP, só tem haver com a conta do usuário atual e a sessão do navegador e só. Fora que isso ai é um add-on. Fora que o resto da pergunta também esta errado, eu recomendo que leia a outra resposta e que entenda bem como funciona o HTTP e entenda aonde esta o CLIENT-SIDE e o SERVER-SIDE. 28/04/2020 às 17:03

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .