PHPのCookieとセッションの違いとは？メリット・デメリットを解説
新人
「PHPのCookieとセッションって、何が違うんですか？」
先輩
「Cookieとセッションは、どちらもユーザー情報を保存するための仕組みですが、それぞれ役割が違います。」
新人
「どういう場面で使い分けるんですか？」
先輩
「それぞれの仕組みを理解すれば、どのような場面で使うべきかが分かりますよ。まずは、Cookieから説明していきますね。」
1. Cookieとは？
Cookieは、ユーザーのブラウザにデータを保存する仕組みです。WebサイトがCookieを設定すると、その情報はブラウザに保存され、次回アクセス時にサーバーに送信されます。
例えば、ログイン情報を保存する「Remember Me」機能や、ユーザーの設定情報を保持する際に使われます。
Cookieの基本的な使い方
PHPでCookieを設定するには、setcookie()関数を使います。
<?php
// Cookieをセット（有効期限：30日間）
setcookie("username", "testuser", time() + (86400 * 30), "/");
?>
上記のコードでは、「username」という名前のCookieを30日間有効に設定しています。ブラウザを閉じても、この期間内であればデータが保持されます。
Cookieの取得方法
保存されたCookieの値は、PHPの$_COOKIE変数を使って取得できます。
<?php
if (isset($_COOKIE["username"])) {
echo "ようこそ " . $_COOKIE["username"] . " さん";
} else {
echo "Cookieが設定されていません。";
}
?>
2. セッションとは？
セッションは、サーバー側にデータを保存する仕組みです。Cookieとは異なり、データがブラウザに保存されるのではなく、サーバー上で管理されます。
例えば、ログイン状態を保持したり、ショッピングカートのデータを保存したりする際に使用されます。
セッションの基本的な使い方
PHPでセッションを使うには、まずsession_start()を呼び出す必要があります。
<?php
session_start(); // セッションを開始
// セッション変数を設定
$_SESSION["username"] = "testuser";
echo "セッションが設定されました。";
?>
このコードを実行すると、サーバー側で「username」というセッション変数が設定されます。
セッションの取得方法
セッション変数を取得するには、$_SESSION変数を使います。
<?php
session_start(); // セッションを開始
if (isset($_SESSION["username"])) {
echo "ようこそ " . $_SESSION["username"] . " さん";
} else {
echo "セッションが設定されていません。";
}
?>
セッション変数はブラウザを閉じると消えますが、サーバーが設定するタイムアウト時間まで保持されます。
3. Cookieとセッションの違い（データの保存場所や有効期限の違い）
Cookieとセッションは、どちらもユーザーのデータを保存する仕組みですが、いくつかの違いがあります。特に重要なのは「データの保存場所」と「有効期限」の違いです。
データの保存場所の違い
- Cookie：データはユーザーのブラウザに保存され、サーバーに送信されます。
- セッション：データはサーバー側に保存され、ユーザーのブラウザにはセッションIDのみがCookieとして保存されます。
有効期限の違い
Cookieは有効期限を指定できますが、セッションはデフォルトではブラウザを閉じると削除されます。
<?php
// Cookieの有効期限を30日に設定
setcookie("username", "testuser", time() + (86400 * 30), "/");
?>
セッションはサーバーが管理するため、ブラウザを閉じるとデフォルトでは無効になります。
<?php
session_start();
$_SESSION["username"] = "testuser";
?>
4. Cookieを使うメリット・デメリット
Cookieを使うメリット
- データがブラウザに保存されるため、サーバーの負荷が少ない。
- 有効期限を長く設定でき、ログイン情報などを保持しやすい。
- ページ遷移をまたいでもデータが利用可能。
Cookieを使うデメリット
- データがユーザーの端末に保存されるため、盗まれるリスクがある。
- ブラウザの設定によっては、Cookieが無効化されることがある。
- 1つのCookieの保存サイズには制限があり、大量のデータを保持できない。
セキュリティ対策
Cookieを安全に使用するために、以下の設定を推奨します。
<?php
setcookie("secure_cookie", "value", [
"expires" => time() + (86400 * 30),
"path" => "/",
"secure" => true, // HTTPSでのみ送信
"httponly" => true, // JavaScriptからのアクセスを禁止
"samesite" => "Strict" // CSRF対策
]);
?>
5. セッションを使うメリット・デメリット
セッションを使うメリット
- データがサーバー側に保存されるため、安全性が高い。
- 大量のデータを保持できる（サーバーのストレージに依存）。
- ユーザーのブラウザの設定に依存せずに利用できる。
セッションを使うデメリット
- サーバー側でデータを管理するため、負荷がかかる可能性がある。
- ブラウザを閉じるとデフォルトでセッションが無効になる。
- 異なるデバイスでは同じセッション情報を利用できない。
セッションの安全な利用方法
セッションを安全に利用するためには、セッションIDを適切に管理することが重要です。
<?php
session_start();
// セッションIDを変更してセキュリティを強化
session_regenerate_id(true);
$_SESSION["user_id"] = 123;
?>
6. Cookieとセッションの使い分け（どのような場面でどちらを使うべきか）
Cookieとセッションは、それぞれ適した用途があります。どちらを使うべきかは、保存するデータの種類や利用する場面によって決まります。
Cookieを使うべき場面
- ユーザーの設定情報（テーマカラー、言語設定など）を保存したいとき。
- ログイン状態を保持する「Remember Me」機能を実装したいとき。
- ユーザーがアクセスするたびにサーバーと通信しないで済む情報を保存したいとき。
セッションを使うべき場面
- ログイン情報を安全に管理したいとき。
- ショッピングカートのデータを保持したいとき。
- ユーザーごとに一時的なデータを管理したいとき。
Cookieとセッションを組み合わせる方法
ログイン機能などでは、Cookieとセッションを組み合わせて使うのが一般的です。例えば、ログイン情報はセッションに保存し、「Remember Me」機能で自動ログインする場合はCookieを利用します。
<?php
session_start();
if (isset($_COOKIE["remember_me"])) {
$_SESSION["username"] = $_COOKIE["remember_me"];
}
?>
7. セキュリティ対策（CookieのSecure属性、セッションIDの保護 など）
Cookieとセッションは便利ですが、適切なセキュリティ対策を行わないと、情報漏えいや攻撃のリスクがあります。
Cookieのセキュリティ対策
Cookieを安全に利用するためには、以下の設定を行うことが重要です。
- Secure属性：HTTPS通信のみでCookieを送信する。
- HttpOnly属性：JavaScriptからCookieを取得できないようにする。
- SameSite属性：異なるサイトからのリクエストでCookieが送信されないようにする。
<?php
setcookie("secure_cookie", "value", [
"expires" => time() + (86400 * 30),
"path" => "/",
"secure" => true,
"httponly" => true,
"samesite" => "Strict"
]);
?>
セッションのセキュリティ対策
セッションを安全に利用するためには、セッションIDの管理が重要です。
- セッションIDの定期的な変更：攻撃者に盗まれた場合のリスクを減らす。
- HTTPSの使用：通信内容を暗号化し、盗聴を防ぐ。
- セッションの適切な破棄：ログアウト時にセッションを削除する。
<?php
session_start();
session_regenerate_id(true); // セッションIDの変更
?>
8. まとめとおすすめの使い方
Cookieとセッションにはそれぞれ異なる役割があり、適切な場面で使い分けることが重要です。
Cookieを使うべき場面
- ユーザーの設定を保存したいとき。
- ログイン情報を保持する「Remember Me」機能を作りたいとき。
セッションを使うべき場面
- ログイン認証などの重要なデータを扱うとき。
- ショッピングカートのデータを管理するとき。
セキュリティ対策のポイント
- CookieにはSecure、HttpOnly、SameSite属性を設定する。
- セッションIDを定期的に変更し、適切に破棄する。
- HTTPSを利用して通信を暗号化する。
これらのポイントを押さえれば、Cookieとセッションを安全に活用することができます。
