PHP セッションタイムアウトへのベストな対応とは？

Question

PHPで開発しています。
session.gc_maxlifetimeと**session_cache_expire()**の違いとは何でしょうか。

たとえば15分間動作がない場合（開いてから15分ではなく）ユーザーセッションを無効にしたいのですが、どちらをしようするのが適切でしょうか。

ユーザーのクッキーを一定時間が過ぎたら無効にする**session_set_cookie_params()**は知っています。
ですが、クッキーの使用期限とサーバー側の実際のセッションの使用期限が一致しません。
この場合、クッキーが期限切れになったらセッションも消去されるのですか？

自分で思いついたもうひとつの解決法は、全てのリクエストに**$_SESSION['last_time'] = time()**をつけ、実際の時間と比較しそれに沿ってセッションを消去していくというものです。
できればこのようなことができるより自動的なメカニズムがあればと思っています。
アドバイスよろしくお願いします。

Answer 1

session_startが呼ばれるたびにセッションファイルのタイムスタンプ（もしあれば）が更新され、session.gc_maxlifetimeが計算されます。

大事なことは、session.gc_maxlifetimeの時間が過ぎたからといってセッションタイムアウトで消えることを期待してはいけないということです。

PHPは現在のセッションがロードされると時間切れのセッションのガーベッジコレクションを行います。
.gc_probabilityとsession.gc_divisorを使用することによってガーベッジコレクションが発動する可能性を計算します。
初期設定では1％の可能性です。

閲覧者数が少ない場合、現在使われていないユーザーが時間切れで消去されているはずのサーバーにアクセスする可能性もあります。
もしこれが重要であれば、セッション内にタイムスタンプを設置し、どのくらいの期間ユーザーによる動作がないか計算させる必要があります。

この例は、session_start入れ替えタイムアウトを強制させるものです。

function session_time_out($timeout = 1440) {
    ini_set('session.gc_maxlifetime', $timeout);
    session_start();
    
    if (isset($_SESSION['idle_time']) && $_SESSION['idle_time'] < time()) {
        session_destroy();
        session_start();
        session_regenerate_id();
        $_SESSION = array();
    }
    
    $_SESSION['idle_time'] = time() + $timeout;
}