PHPでユーザーごとにセッションを管理する方法！初心者にもわかるWebログインの仕組み

1. セッションとは？PHPのログイン管理の基本用語

1. セッションとは？PHPのログイン管理の基本用語

セッション（Session）とは、PHPでユーザーがWebサイトを利用している間に、その人が「誰なのか」「どんな操作をしたのか」といった情報を一時的に覚えておく仕組みです。

例えば、遊園地の入場券のようなものです。入場券を見せれば、スタッフは「この人はチケットを買った人だな」とわかりますよね。セッションはその「入場券」をWeb上で実現するような働きをします。

ログイン処理をすると、サーバーは「この人はログインしている人だ」と覚えておきます。ログイン後に別のページに移動しても、セッションがあることでログイン状態をキープできます。

2. PHPでセッションを使う基本の書き方

2. PHPでセッションを使う基本の書き方

PHPでセッションを使うときは、まず最初にsession_start()という命令を書きます。これによって、PHPがセッションを開始し、ユーザーごとの情報を保存できるようになります。

使い方の基本は次のようになります。

<?php
session_start();
$_SESSION['user'] = 'taro';
?>

ここで$_SESSION['user']は、「セッションの中に"user"という名前で"taro"という情報を保存する」という意味です。

3. ログイン時にユーザー情報をセッションに保存しよう

3. ログイン時にユーザー情報をセッションに保存しよう

次は、ユーザーがログインしたときに、セッションを使ってログイン状態を管理する例です。まずはログイン処理を書いてみましょう。

<?php
session_start();

$username = $_POST['username'];
$password = $_POST['password'];

// 仮のユーザー情報
if ($username === 'taro' && $password === 'pass123') {
    $_SESSION['user'] = $username;
    header('Location: mypage.php');
    exit;
} else {
    echo 'ログインに失敗しました。';
}
?>

このように、ログインに成功したら、セッションにユーザー名を保存して次のページへ移動します。

4. マイページでユーザーごとの情報を表示する

4. マイページでユーザーごとの情報を表示する

次はログイン後のページ、いわゆる「マイページ」でセッションを使ってログイン中のユーザーの名前を表示してみましょう。

<?php
session_start();
if (!isset($_SESSION['user'])) {
    header('Location: loginform.html');
    exit;
}
echo "ようこそ、" . $_SESSION['user'] . "さん！";
?>

issetは「この変数が存在しているか？」を調べる関数です。セッションにuserがあるかを確認し、なければログイン画面に戻します。

5. セッションを使ってユーザー情報を保持するとは？

5. セッションを使ってユーザー情報を保持するとは？

セッションを使えば、ユーザーが別のページに移動しても、その間に「ログイン中かどうか」や「誰が操作しているか」を記録し続けることができます。

たとえば、買い物サイトで「カートに入れた商品」は、セッションを使って一時的に記録されます。ページを移動しても商品は消えませんよね。それと同じことがログイン状態にも当てはまります。

6. ログアウト処理でセッションを削除しよう

6. ログアウト処理でセッションを削除しよう

ログアウトするには、セッションを削除する必要があります。次のように書きます。

<?php
session_start();
session_unset();
session_destroy();
header('Location: loginform.html');
exit;
?>

session_unset()はセッションの中身を全部空にし、session_destroy()はセッション自体を破棄します。ログアウト後はログインページへ戻すのが一般的です。

7. 複数ユーザーを管理するにはどうする？

7. 複数ユーザーを管理するにはどうする？

実際には、1人ではなく複数のユーザーが同時にWebサイトにアクセスします。でもセッションは「その人ごとに自動で別々に管理」されるので安心です。

たとえば、同じページをAさんとBさんが開いたとしても、それぞれのセッションはサーバー側で別々に処理され、$_SESSION['user']にAさんとBさんの名前がそれぞれ別に入ります。

8. セッションIDとは？安全性も意識しよう

8. セッションIDとは？安全性も意識しよう

セッションには、内部的に「セッションID（アイディー）」という一意の番号が使われています。これはユーザーごとに発行され、クッキーという仕組みを通じて自動的に管理されます。

セッションIDが漏れると、他人になりすまされるリスクがあるので、ログイン状態を守るためにはsession_regenerate_id()を使って、IDを再発行するのが安全です。

<?php
session_start();
session_regenerate_id(true);
?>

ログイン直後にこの関数を使うと、安全性が高まります。