PHP: Cookies e Sessões

Transcrição

1 PHP: Cookies e Sessões Programação de Servidores Marx Gomes Van der Linden

2 Protocolo HTTP O protocolo HTTP não tem conceito de sessões. Modelo simples de Requisição e Resposta. 2

3 Protocolo HTTP Tipicamente, vários usuários estão acessando o servidor web ao mesmo tempo. HTTP não define uma maneira direta de se rastrear cada usuário e dar continuidade individual às atividades de requisições anteriores. 3

4 Cookies Um Cookie é um arquivo de texto que pode ser criado pelo navegador, a pedido do servidor web. Cada cookie tem um conjunto de variáveis: nome=valor Todo cookie é necessariamente associado ao um site (ou domínio) que o criou e, teoricamente, não pode ser acessado por outros sites. 4

5 Cookies O cookie é reenviado automaticamente ao servidor a cada nova visita à mesma página. Um cookie pode conter uma data de expiração (opcional) Default: Cookie é apagado ao se fechar o navegador. 5

6 Cookies 6

7 Cookies 7

8 Cookies 8

9 Usos de Cookies Armazenar itens no "carrinho de compras". Armazenar informações de autenticação. Guardar configurações do usuário. Permitir continuidade no uso de uma aplicação web. 9

10 setcookie Para incluir na resposta HTTP uma solicitação para que o navegador crie um cookie, basta utilizar a função setcookie. Sintaxe (simplificada): setcookie($nome, $valor) Returna true em caso de sucesso, false em caso de erro. 10

11 setcookie Deve ser usado antes de enviar qualquer dado pertencente ao corpo da mensagem! (inclusive espaços em branco). Não há garantias de que o navegador vai aceitar o cookie. 11

12 pagina1.php <?php $b = setcookie('nome', 'Milhouse Van Houten');?> <html> <head> <title>cookies, página 1</title> </head> <body><?php if($b) echo "Cookie enviado com sucesso"; else echo "Erro ao enviar o cookie.";?></body> </html> 12

13 Requisição HTTP GET /exemplo/pagina1.php HTTP/1.1 Host: localhost User-Agent: Mozilla/5.0 (X11; U; Linux i686; pt-br; rv: ) Gecko/ Firefox/3.0.1 Accept: text/html,application/xhtml+xml,application/x ml;q=0.9,*/*;q=0.8 Accept-Language: pt-br,pt;q=0.8,enus;q=0.5,en;q=0.3 Accept-Encoding: gzip,deflate Accept-Charset: ISO ,utf-8;q=0.7,*;q=0.7 Keep-Alive: Connection: keep-alive

14 Resposta HTTP (Cabeçalho) HTTP/1.x 200 OK Date: Fri, 19 Sep :01:36 GMT Server: Apache/2.2.8 (Ubuntu) PHP/ ubuntu5.3 with Suhosin-Patch X-Powered-By: PHP/ ubuntu5.3 Set-Cookie: nome=milhouse+van+houten Content-Length: 107 Keep-Alive: timeout=15, max=100 Connection: Keep-Alive Content-Type: text/html 14

15 Saída <html> <head> <title>cookies, página 1</title> </head> <body>cookie enviado com sucesso</body> </html> 15

16 $_COOKIE O interpretador PHP automaticamente organiza os cookies enviados pelo usuário ao servidor, através do array $_COOKIE. Formato: $_COOKIE[$nome] // retorna $valor 16

17 pagina2.php <html> <head> <title>cookies, página 2</title> </head> <body> <?php if(isset($_cookie['nome'])) echo "Seu nome é $_COOKIE[nome]."; else echo "Eu não sei o seu nome.";?> </body></html> 17

18 Requisição HTTP GET /exemplo/pagina2.php HTTP/1.1 Host: localhost User-Agent: Mozilla/5.0 (X11; U; Linux i686; pt-br; rv: ) Gecko/ Firefox/3.0.1 Accept: text/html,application/xhtml+xml,application/x ml;q=0.9,*/*;q=0.8 Accept-Language: pt-br,pt;q=0.8,enus;q=0.5,en;q=0.3 Accept-Encoding: gzip,deflate Accept-Charset: ISO ,utf-8;q=0.7,*;q=0.7 Keep-Alive: 300 Connection: keep-alive Cookie: nome=milhouse+van+houten Cache-Control: max-age=0 18

19 Resposta HTTP (Cabeçalho) HTTP/1.x 200 OK Date: Fri, 19 Sep :07:02 GMT Server: Apache/2.2.8 (Ubuntu) PHP/ ubuntu5.3 with Suhosin-Patch X-Powered-By: PHP/ ubuntu5.3 Content-Length: 112 Keep-Alive: timeout=15, max=100 Connection: Keep-Alive Content-Type: text/html 19

20 Saída <html> <head> <title>cookies, página 2</title> </head> <body> Seu nome é Milhouse Van Houten.</body></html> 20

21 Cookies como arrays Para armazenar no cliente um cookie que será lido como um array, basta utilizar a notação de arrays. setcookie("valor[nome]", "Bill"); setcookie("valor[sobrenome]", "Gates"); setcookie("valor[empresa]", "Microsoft"); 21

22 Cookies como arrays Depois, é possível usar o resultado do cookie recebido de volta como um array comum. if (isset($_cookie['valor'])) { foreach ( $_COOKIE['valor'] as $indice => $valor ) echo "$indice: $valor \n"; } nome: Bill sobrenome: Gates empresa: Microsoft 22

23 Tempo de expiração Para evitar que o cookie seja excluído quando o navegador for fechado, é necessário especificar um tempo de expiração. Sintaxe completa: setcookie($nome, $valor, [$dataexpira], [$caminho], [$domínio]) Se $dataexpira não for especificado ou igual a 0, será excluído quando se fechar o navegador 23

24 Tempo de expiração Cookie que expira em 1 hora: setcookie( 'login','milhouse', time() + 60*60 ); Cookie que expira em 1 dia: setcookie( 'login','krusty', time() + 60*60*24 ); Cookie que expira do dia 12 de outubro de 2010 setcookie( 'login','flanders', mktime(12,0,0, 10,12,2010) ); 24

25 Diretório de aplicação do Cookie O terceiro parâmetro de setcookie serve para especificar a partir de que diretório, na estrutura de arquivos do servidor web, o cookie deve ser aplicado. Padrão: apenas diretório atual '/' Domínio inteiro 25

26 Diretório de aplicação do Cookie Cookie válido para todo o domínio setcookie('login','burns', 0, '/' ); Cookie válido para um diretório setcookie('login','barney', time()+60*60, '/moe' );

27 Domínio de aplicação do Cookie Por padrão os cookies só são enviados para sites que tenham exatamente o mesmo domínio (incluindo subdomínio) meusite.exemplo.com O quarto parâmetro indica para que partes do domínio da URL o cookie deverá ser enviado. Não é possível especificar um domínio diferente daquele do site que registra o cookie! 27

28 Domínio de aplicação do Cookie Cookie válido para todo o domínio setcookie('login','burns', 0, '/', '.exemplo.com' ); meusite.exemplo.com/shelbyville 28

29 Excluindo um cookie Para excluir um cookie, basta passar um novo cookie com exatamente os mesmos parâmetros já passados, mas valor igual à string vazia. Criando: setcookie('login','burns', 0, '/' ); Excluindo: setcookie('login','', 0, '/' ); 29

30 Características dos Cookies Todas as informações ficam armazenadas no cliente. O servidor não tem um controle preciso de que cookies estão armazenados para cada usuário. Todas os dados precisam ser repassados novamente a cada requisição HTTP feita pelo cliente. Cookies podem ser desativados, excluídos e modificados pelo cliente. 30

31 Sessões PHP fornece um mecanismo de sessões. Quase todos os dados ficam armazenados no servidor. 31

32 Sessões Quando a sessão inicia, o servidor gera um ID, que é uma string alfanumérica aleatória única (PHPSESSID) para identificar o cliente. O cliente armazena a ID como um cookie. Em todas as requisições seguintes, o cliente envia ao servidor apenas o cookie referente ao seu ID. A partir dos IDs, o servidor identifica e diferencia cada cliente. 32

33 session_start() Para iniciar (ou continuar) uma sessão, basta usar a função session_start Sintaxe: session_start() Deve ser usado antes de qualquer saída do corpo da mensagem Sempre returna true 33

34 $_SESSION Para ler e configurar variáveis de sessões, utiliza-se o array $_SESSION. Não há análogo em sessões à função setcookie. 34

35 exemplo.php <?php session_start();?> <html> <head> <title>sessões</title> </head> <body> <?php if(!isset($_session['visitas'])) $_SESSION['visitas'] = 0;?> Esta é a sua visita número <?php echo $_SESSION['visitas']++?>. </body> </html> 35

36 1a Requisição HTTP GET /delme/exemplo.php HTTP/1.1 Host: localhost User-Agent: Mozilla/5.0 (X11; U; Linux i686; pt-br; rv: ) Gecko/ Firefox/3.0.1 Accept: text/html,application/xhtml+xml,application/x ml;q=0.9,*/*;q=0.8 Accept-Language: pt-br,pt;q=0.8,enus;q=0.5,en;q=0.3 Accept-Encoding: gzip,deflate Accept-Charset: ISO ,utf-8;q=0.7,*;q=0.7 Keep-Alive: Connection: keep-alive

37 1a Resposta HTTP (Cabeçalho) HTTP/1.x 200 OK Date: Fri, 19 Sep :17:44 GMT Server: Apache/2.2.8 (Ubuntu) PHP/ ubuntu5.3 with Suhosin-Patch X-Powered-By: PHP/ ubuntu5.3 Set-Cookie: PHPSESSID=c7abd60716ef5c9df79f aaec5; path=/ Expires: Thu, 19 Nov :52:00 GMT Cache-Control: no-store, no-cache, mustrevalidate, post-check=0, pre-check=0 Pragma: no-cache Content-Length: 110 Keep-Alive: timeout=15, max=100 Connection: Keep-Alive Content-Type: text/html 37

38 2a Requisição HTTP GET /delme/exemplo.php HTTP/1.1 Host: localhost User-Agent: Mozilla/5.0 (X11; U; Linux i686; pt- BR; rv: ) Gecko/ Firefox/3.0.1 Accept: text/html,application/xhtml+xml,application/xml; q=0.9,*/*;q=0.8 Accept-Language: pt-br,pt;q=0.8,enus;q=0.5,en;q=0.3 Accept-Encoding: gzip,deflate Accept-Charset: ISO ,utf-8;q=0.7,*;q=0.7 Keep-Alive: 300 Connection: keep-alive Cookie: PHPSESSID=c7abd60716ef5c9df79f aaec Cache-Control: max-age=0

39 2a Resposta HTTP HTTP/1.x 200 OK Date: Fri, 19 Sep :19:46 GMT Server: Apache/2.2.8 (Ubuntu) PHP/ ubuntu5.3 with Suhosin-Patch X-Powered-By: PHP/ ubuntu5.3 Expires: Thu, 19 Nov :52:00 GMT Cache-Control: no-store, no-cache, mustrevalidate, post-check=0, pre-check=0 Pragma: no-cache Content-Length: 110 Keep-Alive: timeout=15, max=100 Connection: Keep-Alive Content-Type: text/html 39

40 session_set_cookie_params É possível configurar os parâmetros do cookie usado para armazenar o ID da sessão. Sintaxe: session_set_cookie_params( $dataexpira, [$caminho], [$domínio]) A sintaxe dos parâmetros é similar às da função setcookie. 40

41 session_name A função session_name muda o nome do cookie que identifica o código da sessão. Deve ser chamado antes de session_start. Sintaxe: session_name($novonome) Return true em caso de sucesso; false em erro. 41

42 session_id Sintaxe: session_id() Retorna o ID da seção atual, ou '', caso não haja sessão aberta. 42

43 session_regenerate_id Sintaxe: session_regenerate_id() Gera um novo ID para a sessão atual. Envia uma novo requisição de Cookie ao cliente, sem quebrar a sessão. Precisa ser chamado antes de qualquer saída no corpo da resposta HTTP. Return true em caso de sucesso; false em erro. 43

44 Configurando sessões Por padrão: Uma sessão continua ativa caso seja acessada pelo usuário ao menos 1 vez a cada 24 minutos. Sessões não servem para armazenar dados permanentes! Cada vez que session_start é chamada, há uma probabilidade de 1% de que o PHP vai varrer todas as sessões ativas, e excluir as que expiraram. 44

45 ini_set A função ini_set serve para mudar temporariamente alguma configuração do PHP. Sintaxe: ini_set($variável, $novovalor) Return true em caso de sucesso; false em erro. 45

46 session.gc_maxlifetime Especifica o tempo (em segundos) máximo que uma sessão deve durar, esperando pelo usuário. Padrão: 1440 (24 minutos). Deve ser modificada antes de session_start() ini_set('session.gc_maxlifetime', 600); session_start( ); 46

47 session.gc_probability Especifica a probabilidade (em %) de que o PHP vai fazer a verificação e limpeza das sessões expiradas, a cada chamada de session_start. Padrão: 1 Também deve ser modificada antes de session_start ini_set('session.gc_probability', 100); session_start( ); 47

48 Segurança Problema de segurança: A ID da sessão pode ser interceptada por alguém que esteja monitorando a rede. Se outra pessoa usar a mesma ID para fazer requisições ao servidor, pode fazer se passar por outro usuário. 48

49 Funções de Hash 49

50 Funções de Hash PHP implementa as funções de hash mais comuns: md5($string) sha1($string) hash($algoritmo, $string) (Função genérica que implementa vários algoritmos) 50

51 md5 echo md5("the book is on the table"), " \n"; echo md5("the book is on the table."), " \n"; 0c29bf0f928decfbf91070fa4affb0c4 1f683fe1cd7977cdd056ddc25d6bd8f8 51

52 $_SERVER O array $_SERVER contém informações fornecidas pelo servidor web, como cabeçalhos, caminhos de arquivo e configurações. Os índices do array são fixos e seus valores não podem ser modificados. 52

53 $_SERVER Exemplos: 'PHP_SELF' Nome do script atual 'SERVER_ADDR' Endereço IP do servidor 'SERVER_NAME' Nome do servidor 'HTTP_USER_AGENT' Configurações do cliente 'REMOTE_ADDR' Endereço IP do cliente 53

54 $_SERVER $keys = array( 'PHP_SELF', 'SERVER_ADDR', 'SERVER_NAME', 'HTTP_USER_AGENT', 'REMOTE_ADDR', ); foreach($keys as $k) echo "$k: $_SERVER[$k] \n"; PHP_SELF: /exemplo/exemplo.php SERVER_ADDR: SERVER_NAME: localhost HTTP_USER_AGENT: Mozilla/5.0 (X11; U; Linux i686; pt-br; rv: ) Gecko/ Firefox/3.0.1 REMOTE_ADDR: 54

55 Sessão Segura (1/2) <?php session_start(); $md5 = md5( $_SERVER['HTTP_USER_AGENT']. $_SERVER['REMOTE_ADDR'] ); if (!isset($_session['md5'])) { session_regenerate_id(); $_SESSION['md5'] = $md5; $msg = "Bem-vindo! \n"; } if ($_SESSION['md5']!= $md5) { $_SESSION = array(); $_SESSION['md5'] = $md5; $msg = "Erro! Por favor, faça o login novamente. \n"; } else $msg.= "Continuando...";?> 55

56 Sessão Segura <html> <head><title>sessões</title></head> <body> <?php echo $msg?> </body> </html> 56

57 Saída Primeira execução: OK! Continuando sessão Execuções seguintes: Continuando sessão Tentativa de ataque: Erro! Por favor, faça o login novamente. 57