Vérifier si session inactive

Bonjour à tous,

J'utilises des variables de sessions dans mon application. Ce que j'aimerais, c'est que lorsque l'utilisateur est inactif depuis 15 min (par ex), la session soit détruite et renvoie vers la page d'accueil pour se logger.

J'ai beaucoup vu dans le forum l'utilisation de $_SESSION['last_access']=time(); par exemple.

Est-ce qu'il faut qu'à chaque chargement d'une nouvelle page je change cette variable ?

Est-ce qu'un script js qui tournerait en permanence et comparerait le temps suffirait ?

Y a-t-il une solution qui existe déjà en PHP ?

Merci pour vos réponses.

Mélanie

Les sessions sont déjà par défaut détruites (de mémoire au bout de 24min sans utilisation).
Tu as donc juste à controler si tu as bien quelque chose en session et si non -> redirection.

D'accord, merci.

Cela est-il modifiable (les 24 min), dans php.ini par exemple ?

et hop :
http://cyberzoide.developpez.com/php4/faqsession/#life

Merci :)

C'est très réducteur comme vision de l'expiration d'une session. D'autant plus que la source en question est obsolète voire fausse (session.lifetime n'existe pas ou plus, c'est session.cookie_lifetime - je n'ai rien trouvé dans les ChangeLogs au sujet d'un potentiel ancien session.lifetime).

Ici, vous feriez surtout dépendre l'expiration de la session sur le côté client en cherchant à agir sur celle du cookie, propageant l'identifiant de celle-ci. Ce n'est pas viable et potentiellement une contrainte pour l'usager.

Ce qu'il faut bien comprendre, c'est qu'une session peut avoir théoriquement expirée mais il est toujours possible de la récupérer car PHP ne déclenche pas systématiquement le GC. En effet, celui-ci est appelé par rapport à des probabilités (session.gc_probability divisé par session.gc_divisor). Donc plus cette valeur est basse et moins il y a de trafic pour un site, moins il y a de chances que les sessions soient effectivement expirées (au sens supprimées).

C'est pour ça, suivant le milieu (configuration, ressources, importance du site), qu'il arrive qu'on cherche soi-même à gérer une expiration effective.

Salut

Ce n'est pas session.cookie_lifetime mais session.gc_maxlifetime qui gère la durée du cookie de session, qui vaut 1440 secondes (soit 24 minutes) par défaut dans le php.ini.
Si ce temps maximum est expirée, la session ne sera plus reconduite. C'est ainsi que sont gérées les sessions par défaut.
On peu redéfinir la durée de vie des sessions via cette config.

Ensuite, il y a effectivement toute une histoire de probabilité (gc_probability gc_divisor) pour détruire physiquement les session expirées et uniquement celles expirées, donc elles ne sont plus valides.
Ce mécanisme et là juste pour les supprimer définitivement.


A coté de ça, il est vrai qu'il est potentiellement possible de reprendre une session qui normalement est expirée, mais ça veut dire que sa gestion des sessions est mal faite, il y a un problème.
Le coup classique c'est de rajouter soit même l'ID de session dans ses URLS alors que Php se charge lui même de le faire dés que la session est crée pour l'envoyer vers le poste client (le navigateur), et que le navigateur par la suite lui aussi se charge de transmettre le cookie de session (l'ID) .