PHP (CodeIgniter-3.1.6)のセッション有効期限について。

Question

PHP7.1、CodeIgniter-3.1.6のconfig.php　にセッションの期限を
以下のように15秒に設定しました。
$config['sess_expiration'] = 15;

・ログインが成功すると以下のようにセッションを設定します。
$_SESSION['login'] = TRUE;

・ログイン後のページの先頭はでは
以下のようにログインを判断しています。

if( empty($_SESSION['login'] ) )
{
	ログインページへ移動
}

発生している問題

ログイン後のページがローカルと本番で挙動が異なります。

【ローカル環境】
ログイン後15秒程度経過したのブラウザの更新ボタンを押すとログインページへ移動します。
また、ログインから15秒以内であれば、ブラウザを閉じた後もログイン後ページにアクセスすると、そのままログイン後ページが表示されます。

【本番環境】
ログイン後のページはブラウザを閉じなければ何時間たっても、ページの更新でログインページへ移動することはありません。
また、ブラウザを閉じてログイン後ページを開こうとするとどんなに素早く操作してもログインページに移動します。

お尋ねしたいこと。

なぜ、ローカルと本番で挙動が違うのか（セッションの期限が違うのか）、考えられる原因についてアドバイスいただければ幸いです。

ちなみに本番環境のほうが私が望んでいる挙動です。
以上、よろしくお願いします。

Answer 1

PHPのセッションは、アクセスの度に一定確率によりガーベージコレクトをしておりまして、

１．“他の誰も” アクセスしないとガーベージコレクトは一生行われず
２．ガーベージコレクトは確率論で制御される

という特徴をもっています。

Comments

[umikaze21]

なるほど、改めてググったところ以下のような記事が見つかりました。

https://thk.kanzae.net/net/itc/t4082/
1/100 ではなく確実に破棄したい場合
・プログラムに書く場合

ini_set( 'session.gc_probability', 1 ); // 分子(デフォルト:1)
ini_set( 'session.gc_divisor', 1 ); // 分母(デフォルト:100)

・php.ini に書く場合
session.gc_probability = 1
session.gc_divisor = 1

ini_setで確立を100%にできるか後日試して結果をまたコメントします。

ありがとうございました。

[umikaze21]

試した結果、本番サーバーでセッションの破棄は確率で破棄されているようです。
phpinfo()で確認すると、session.gc_probability、session.gc_divisorの両方とも1になっているで本来なら確実に破棄されると思うのですが、その辺は改めて質問を上げたいと思います。

Answer 2

CodeIgniter の session を使用したシステムで、データが利用できるのは
・クライアントに session id がある
・サーバに session データがある
・サーバの session データが有効期間内である
の3点が成立したときです。

また、以下の状況はクライアントに起因します。

【ローカル環境】

ログイン後15秒程度経過したのブラウザの更新ボタンを押すとログインページへ移動します。
また、ログインから15秒以内であれば、ブラウザを閉じた後もログイン後ページにアクセスすると、そのままログイン後ページが表示されます。

【本番環境】

ログイン後のページはブラウザを閉じなければ何時間たっても、ページの更新でログインページへ移動することはありません。
また、ブラウザを閉じてログイン後ページを開こうとするとどんなに素早く操作してもログインページに移動します。

なので、クライアントの cookie(session id の保持) が今回の挙動を左右する原因と考えられます。
ブラウザの開発ツールで、意図した cookie が正しく設定されているか確認するのが手っ取り早いです。

** 余談 **
よくあるのは、クライアントの時間とサーバの時間のずれにより、cookie が意図した期間の保持になっていないっていうケースです。

Comments

[umikaze21]

ご回答ありがとうございます。とはいっても恥ずかしながらcookieを勉強し始めた段階なのでよくわかりません。趣味でプログラムしているもので、平日はあまり取り組めません。また次の終末にいろいろ試しながら勉強したいと思います。何かしら進展がありましたら一度こちらでご報告いたします。

[umikaze21]

ローカル環境
session_name 　→　'ci_session'（CIで設定した値）
_COOKIE['ci_session']にsession id
本番環境
session_name 　→　'PHPSESSID '（PHPのデフォルト？）
というところまでは確認できました。
サーバーの設定の何かしら変えないといけないと思うのですが、よくわかりません。

とりあえずconfig.phpで$config['sess_expiration'] =0;にすることでローカルと
本番の動作自体はを一致させてます。CIのクッキーがなぜ一致しないかはもう少し調べて
分からなければあららに質問を起こします。

アドバイスありがとうございました。