PHPでユーザーごとにセッションを管理する方法！初心者にもわかるWebログインの仕組み
生徒
「PHPでログイン機能を作ったときに、ユーザーごとの情報を覚えておく方法ってありますか？」
先生
「はい、PHPでは“セッション”という仕組みを使って、ユーザーごとの情報を管理することができますよ。」
生徒
「セッションって何ですか？なんだか難しそう…」
先生
「心配しなくて大丈夫です。わかりやすく、例えを使って説明していきますね！」
1. セッションとは？PHPのログイン管理の基本用語
セッション（Session）とは、PHPでユーザーがWebサイトを利用している間に、その人が「誰なのか」「どんな操作をしたのか」といった情報を一時的に覚えておく仕組みです。
例えば、遊園地の入場券のようなものです。入場券を見せれば、スタッフは「この人はチケットを買った人だな」とわかりますよね。セッションはその「入場券」をWeb上で実現するような働きをします。
ログイン処理をすると、サーバーは「この人はログインしている人だ」と覚えておきます。ログイン後に別のページに移動しても、セッションがあることでログイン状態をキープできます。
2. PHPでセッションを使う基本の書き方
PHPでセッションを使うときは、まず最初にsession_start()という命令を書きます。これによって、PHPがセッションを開始し、ユーザーごとの情報を保存できるようになります。
使い方の基本は次のようになります。
<?php
session_start();
$_SESSION['user'] = 'taro';
?>
ここで$_SESSION['user']は、「セッションの中に"user"という名前で"taro"という情報を保存する」という意味です。
3. ログイン時にユーザー情報をセッションに保存しよう
次は、ユーザーがログインしたときに、セッションを使ってログイン状態を管理する例です。まずはログイン処理を書いてみましょう。
<?php
session_start();
$username = $_POST['username'];
$password = $_POST['password'];
// 仮のユーザー情報
if ($username === 'taro' && $password === 'pass123') {
$_SESSION['user'] = $username;
header('Location: mypage.php');
exit;
} else {
echo 'ログインに失敗しました。';
}
?>
このように、ログインに成功したら、セッションにユーザー名を保存して次のページへ移動します。
4. マイページでユーザーごとの情報を表示する
次はログイン後のページ、いわゆる「マイページ」でセッションを使ってログイン中のユーザーの名前を表示してみましょう。
<?php
session_start();
if (!isset($_SESSION['user'])) {
header('Location: loginform.html');
exit;
}
echo "ようこそ、" . $_SESSION['user'] . "さん！";
?>
issetは「この変数が存在しているか？」を調べる関数です。セッションにuserがあるかを確認し、なければログイン画面に戻します。
5. セッションを使ってユーザー情報を保持するとは？
セッションを使えば、ユーザーが別のページに移動しても、その間に「ログイン中かどうか」や「誰が操作しているか」を記録し続けることができます。
たとえば、買い物サイトで「カートに入れた商品」は、セッションを使って一時的に記録されます。ページを移動しても商品は消えませんよね。それと同じことがログイン状態にも当てはまります。
6. ログアウト処理でセッションを削除しよう
ログアウトするには、セッションを削除する必要があります。次のように書きます。
<?php
session_start();
session_unset();
session_destroy();
header('Location: loginform.html');
exit;
?>
session_unset()はセッションの中身を全部空にし、session_destroy()はセッション自体を破棄します。ログアウト後はログインページへ戻すのが一般的です。
7. 複数ユーザーを管理するにはどうする？
実際には、1人ではなく複数のユーザーが同時にWebサイトにアクセスします。でもセッションは「その人ごとに自動で別々に管理」されるので安心です。
たとえば、同じページをAさんとBさんが開いたとしても、それぞれのセッションはサーバー側で別々に処理され、$_SESSION['user']にAさんとBさんの名前がそれぞれ別に入ります。
8. セッションIDとは？安全性も意識しよう
セッションには、内部的に「セッションID（アイディー）」という一意の番号が使われています。これはユーザーごとに発行され、クッキーという仕組みを通じて自動的に管理されます。
セッションIDが漏れると、他人になりすまされるリスクがあるので、ログイン状態を守るためにはsession_regenerate_id()を使って、IDを再発行するのが安全です。
<?php
session_start();
session_regenerate_id(true);
?>
ログイン直後にこの関数を使うと、安全性が高まります。
