PHP 無期限のsession設定はこれで合っているか

Question

無期限に設定しているつもりですがセッションが勝手に切れたりします
無期限にできてないのかとも思うのですが判断できません
無期限の設定は下記で正しいのでしょうか？

<?php
ini_set('session.gc_maxlifetime',604800 );
ini_set('session.cookie_lifetime',604800 );
ini_set('session.gc_probability',1);
ini_set('session.gc_divisor', 1);
?>

Comments

[m.ts10806]

168時間後に切れるので無期限にはなっていません。

Answer 1

ini_set('session.gc_maxlifetime',604800 );
ini_set('session.cookie_lifetime',604800 );

604800 秒後まで有効と指定していますね。

PHPマニュアルの実行時設定 を見ると

注意: 異なる値を session.gc_maxlifetime に指定している 別々のスクリプトがセッションデータの保存場所を共有している場合、 一番小さい設定値に達した時点でデータが消去されます。このような場合には、 お互いに session.save_path を使用します。

と記載があるように session.save_path が同じ他のプログラムで有効期限が短いものがあると1番短い時間でセッションが削除されますが、ほかのプログラム等と共有していたりしませんか？

Comments

[hydert]

えっとすみません、無期限にしたい場合どういう指定にしたらいいでしょうか？

[CHERRY]

セッションの有効期限を長くすると　セッションの乗っ取りや Cookie の漏洩 等のセキュリティリスクが高くなりますので、セキュリティとの兼ね合いで有効期間を考える必要があります。

IPA　の「安全なウェブサイトの作り方」　( https://www.ipa.go.jp/security/vuln/websecurity.html ) 等を読んでどのぐらいの期間が望ましいかは検討してください

現在の設定が 604800 なので、604800 秒 = 168時間 = 7日間 ですね。

設定値に「無期限」という値ないので、長くするにはこの値を限りなく大きな値にするぐらいでしょうか。

また、限りなく長くしたいということであれば、他のWebアプリやPHPプログラムの影響を受けないように session.save_path を変更しておく必要もあると思います。

デフォルトの値は、gc_maxlifetime が 1440 秒で、 cookie_lifetime が 0 ( = Webブラウザを閉じるまで ) と設定されています。
session.save_path を共有している場合に gc_maxlifetime や cookie_lifetime を指定していない PHPプログラムがあると 1440 秒をこえていると削除される可能性があります。