Session très persistante

Bonjour à tous,

Mon problème est tout simple : mes sessions ne se régénèrent pas, mon identifiant de session reste inchangé... (session_id();)

Mon php.ini a la configuration suivante :

Code:

---

1 2	session.gc_maxlifetime:1800 session.gc_probability:1

---

Théoriquement je devrais avoir un nouvel identifiant de session / nouvelle session toutes le 30 minutes, là depuis 4 jours, je peux fermer x fois mon browser, rien...

Quelqu'un pourrait il m'éclairer ?
Merci à vous.

Hello,

Pour changer l'ID de session sans déconnexion, il existe session_regenerate_id().

Pour connaître la configuration effective il vaut mieux passer par ini_get_all() :

Code:

---

1 2	$s = ini_get_all('session', details: false); print_r($s);

---

Citation:

---

Théoriquement je devrais avoir un nouvel identifiant de session / nouvelle session toutes le 30 minutes, là depuis 4 jours, je peux fermer x fois mon browser, rien...

---

Regarde session.cookie_lifetime, il faut le mettre à 0 pour que la session soit détruite à la fermeture du navigateur.
https://www.php.net/manual/fr/sessio...ookie-lifetime

Hello Seb,
Merci pour ta réponse.
session.cookie_lifetime est bien à 0 ... je ne comprends pas

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20

Array ( [session.auto_start] => 0 [session.cache_expire] => 180 [session.cache_limiter] => nocache [session.cookie_domain] => [session.cookie_httponly] => [session.cookie_lifetime] => 0 [session.cookie_path] => / [session.cookie_samesite] => [session.cookie_secure] => 0 [session.gc_divisor] => 1000 [session.gc_maxlifetime] => 1800 [session.gc_probability] => 1 [session.lazy_write] => 1 [session.name] => PHPSESSID [session.referer_check] => [session.save_handler] => files [session.save_path] => /srv/data/var/php/www [session.serialize_handler] => php [session.sid_bits_per_character] => 5 [session.sid_length] => 26 [session.upload_progress.cleanup] => 1 [session.upload_progress.enabled] => 1 [session.upload_progress.freq] => 1% [session.upload_progress.min_freq] => 1 [session.upload_progress.name] => PHP_SESSION_UPLOAD_PROGRESS [session.upload_progress.prefix] => upload_progress_ [session.use_cookies] => 1 [session.use_only_cookies] => 1 [session.use_strict_mode] => 0 [session.use_trans_sid] => 0 )

---

Après oui j'ai checké les diverses possibilités, on peut faire une rustine avec session_regenerate_id() ca impliquerait d'avoir un cookie supplémentaire avec la date de création, le comparer avec la date existante et si supérieure, régénérer.
Ce n'est pas tip top, le système devrait fonctionner correctement à la base non ?

Que veux-tu faire exactement ?
As-tu testé sur une page ~vierge et minimaliste ?

Oui Seb

Code:

---

1 2 3 4 5

<?php session_start(); $sess_id = session_id(); echo $sess_id; ?>

---

me renvoie le même session_id .

Au final en fait l'importance de la durée du cookie tant qu'elle n'excède pas 1 heure on va dire est négligeable.

Je me sers du session_id comme base pour mes stats interne de fréquentation & de suivi principalement (qui ne s'incrémentent pas forcement avec le même session_id du jour au lendemain ...) et pour certaines fonctionnalités.

Je lâche l'affaire... je me fie à l'IP c'est pas terrible mais plus fiable :(

Quel est ton besoin exactement ?
Je n'ai pas bien compris pour le moment.

As-tu pu reproduire la comportement anormale sur une page toute simple ?

Citation:

---

Envoyé par Gaetan_

Je lâche l'affaire... je me fie à l'IP c'est pas terrible mais plus fiable :(

---

Hello,
Comme mon VDD je ne sais pas dans quel contexte tu souhaites faire cela, mais si tu te bases sur l'IP n'oublie pas que ce n'est pas "plus fiable" qu'une session. Au niveau de ton code tu dois proprement gérer les notions de X_FORWARDED_FOR si tu ne souhaites pas qu'un petit malin s'amuse à injecter d'autres IPs dans un header, au même titre que tu pourrais avoir des proxies entre ton client et ton appli et donc, par découlement, ne pas avoir la bonne IP Cliente.

Simple conseil de sécurité :)

Citation:

---

Envoyé par Gaetan_

session.cookie_lifetime est bien à 0 ... je ne comprends pas

---

c'est peut-être là qu'est le souci principal. vous avez peut-être plusieurs fenêtres ouvertes ou alors une instance buguée du navigateur qui n'affiche pas de fenêtre.
quand vous regardez dans les outils de développement de votre navigateur, est ce que le cookie a l'air correct ?


en ce qui concerne les options de réglages qui commencent par "gc_" il s'agit du système interne de nettoyage. si le site n'est pas très fréquenté, le nettoyage peut très bien se faire au bout de quelques jours.
https://www.php.net/manual/fr/sessio...gc-maxlifetime
https://www.php.net/manual/fr/session.security.ini.php

Citation:

---

Envoyé par Gaetan_

ca impliquerait d'avoir un cookie supplémentaire avec la date de création, le comparer avec la date existante et si supérieure, régénérer.

---

vous n'avez pas besoin de créer un autre cookie pour cela, vous pouvez par exemple enregistrer la date de validité dans une variable de session.

Bonjour,
Merci pour votre réponse Mathieu.
Selon la doc, session.cookie_lifetime = 0 implique que la session est active jusqu'à la fermeture du navigateur.
J'ai beau le fermer x fois, redémarrer l'ordinateur, elle reste persistante.

Citation:

---

vous n'avez pas besoin de créer un autre cookie pour cela, vous pouvez par exemple enregistrer la date de validité dans une variable de session.

---

Alors là je ne vois pas comment faire.
Pour moi tout était lié au php.ini ?

Merci à vous

Citation:

---

Envoyé par mathieu

quand vous regardez dans les outils de développement de votre navigateur, est ce que le cookie a l'air correct ?

---

?

Citation:

---

Envoyé par Gaetan_

Alors là je ne vois pas comment faire.

---

je ne suis pas sur d'avoir compris, vous avez besoin de quelle information dans votre code ?

Bonjour mathieu,
Pardon pour la retard de ma réponse.
En mode développement le seul cookie visible est celui d'Analytics.

Citation:

---

je ne suis pas sur d'avoir compris, vous avez besoin de quelle information dans votre code ?

---

Citation:

---

vous pouvez par exemple enregistrer la date de validité dans une variable de session.

---

Je ne vois sais justement pas comment enregistrer une date de validité dans une variable de session...
Je cherche mais non...

Merci à vous

Salut,

Pour enregistrer une date dans une variable de session:

Code:

---

1 2 3

<?php $_SESSION['date_expiration_session'] = 1744892515; ?>

---

Pour forcer la destruction d'une session:

Code:

---

1 2 3

<?php session_destroy(); ?>

---

Pour supprimer un cookie, on peut le redéfinir avec une date dans le passé, ex:

Code:

---

1 2 3

<?php setcookie("mon_cookie", "", time()-3600) ?>

---