新人と先輩の会話形式で理解しよう

新人

「PHPでセッション変数を使うと、どんなことができるんですか？」

先輩

「セッション変数を使うと、ユーザーがサイトを移動しても情報を保持できるので、ログイン状態を維持したり、ショッピングカートの情報を保持したりできます。」

新人

「なるほど！それってどうやって実装するんですか？」

先輩

「それでは、セッションの基本的な使い方を説明するね！」

-

1. セッションとは？

セッションは、ユーザーがウェブサイトにアクセスしている間に、サーバー側で情報を保存しておく仕組みです。ユーザーが別のページに移動しても、保存した情報はそのまま保持され、ユーザーが再度アクセスする際にも利用することができます。

例えば、ユーザーがショッピングサイトで商品をカートに入れたとき、その情報をセッションに保存しておけば、別のページに移動してもカートの内容が保持されます。

2. セッション変数を使う目的と重要性

セッション変数を使うことで、次のようなことが実現できます：

ユーザーのログイン状態を管理する。
ショッピングカートなどの情報を保持する。
ユーザーが設定した情報（言語選択、テーマ設定など）を保存する。

セッションを使用しない場合、これらの情報はページを移動するたびに失われてしまいますが、セッションを利用することで、ユーザーにとってスムーズで快適なウェブ体験を提供できます。

3. セッション変数を保存する方法（実装例）

セッション変数を保存するには、まずセッションを開始する必要があります。セッションは、session_start()関数を使って開始します。その後、$_SESSIONグローバル配列に値を代入することで、セッション変数にデータを保存できます。

次のコード例では、セッションを開始し、ユーザー名をセッション変数に保存する方法を示します。


<?php
// セッションの開始
session_start();

// セッション変数にデータを保存
$_SESSION['username'] = 'Taro';
?>

このコードを実行すると、セッション変数$_SESSION['username']に「Taro」という値が保存されます。これで、ユーザーが他のページに移動しても、このデータを利用することができます。

4. セッション変数を取得する方法（実装例）

セッション変数の値を取得するには、$_SESSION配列を使います。セッションが開始されていれば、保存されたデータを簡単に取得できます。

次のコード例では、先ほど保存したユーザー名を取得して表示する方法を示します。


<?php
// セッションの開始
session_start();

// セッション変数から値を取得
echo 'こんにちは、' . $_SESSION['username'] . 'さん！';
?>

このコードを実行すると、セッション変数$_SESSION['username']から「Taro」が取得され、画面に「こんにちは、Taroさん！」と表示されます。

-

5. セッション変数を削除する方法（実装例）

セッション変数を削除するには、unset()関数を使います。unset()関数を使うと、指定したセッション変数を削除できます。また、セッション全体を終了させる場合は、session_destroy()を使用します。

次のコード例では、セッション変数usernameを削除する方法を示します。


<?php
// セッションの開始
session_start();

// セッション変数の削除
unset($_SESSION['username']);

// セッション変数が削除されたか確認
if (!isset($_SESSION['username'])) {
    echo 'セッション変数は削除されました。';
}
?>

このコードを実行すると、セッション変数usernameが削除され、画面には「セッション変数は削除されました。」と表示されます。

さらに、セッション全体を終了させたい場合は、次のようにします。


<?php
// セッションの開始
session_start();

// セッションを終了する
session_destroy();
?>

session_destroy()を使うと、すべてのセッション変数が削除され、セッション自体も終了します。

6. セッション変数の注意点（セキュリティ、タイムアウトなど）

セッション変数を使用する際には、いくつかの注意点があります。特にセキュリティ面での対策が重要です。

セッションハイジャック：セッションIDが盗まれると、攻撃者がそのセッションを乗っ取る可能性があります。このため、セッションIDは常に安全に管理する必要があります。HTTPSを使用し、セッションIDをURLに含めないようにしましょう。
セッションタイムアウト：セッションは一定時間が経過すると自動的に無効になります。セッションが長時間放置されていると、悪意のあるユーザーにセッションを利用されるリスクが高まるため、適切なタイムアウトを設定することが重要です。
セッション固定攻撃：攻撃者が最初にセッションIDを指定して、それを使って攻撃する手法です。このリスクを避けるためには、ログイン時にセッションIDを再生成することが推奨されます。

セッションのセキュリティを強化するために、以下の方法を試してみましょう：

セッションIDを再生成する：session_regenerate_id()を使用して、ログイン後にセッションIDを再生成することが推奨されます。
HTTPSを使用する：通信が暗号化されるため、セッションIDが盗まれるリスクを減少させます。
セッションの有効期限を短く設定する：session.gc_maxlifetimeでセッションの最大有効期限を設定し、長時間放置されないようにします。

7. セッションの活用例（ユーザー認証、ショッピングカートなど）

セッションは様々な場面で活用できます。以下に代表的な活用例を紹介します。

ユーザー認証

ログイン機能を実装する際に、セッション変数を使ってユーザーの認証状態を管理することができます。ユーザーが正しくログインした際にセッションに情報を保存し、次回以降のアクセスで認証情報を確認することができます。


<?php
// ユーザー認証後の処理
session_start();

// ユーザー情報をセッションに保存
$_SESSION['logged_in'] = true;
$_SESSION['username'] = 'Taro';
?>

このように、セッション変数にログイン情報を保存することで、ユーザーが他のページに移動してもログイン状態を保持できます。

ショッピングカート

オンラインショッピングサイトでは、ユーザーがカートに入れた商品をセッションに保存しておき、ページを移動してもカートの中身が消えないようにします。


<?php
// 商品をカートに追加する
session_start();
if (!isset($_SESSION['cart'])) {
    $_SESSION['cart'] = [];
}

// カートに商品を追加
$_SESSION['cart'][] = '商品A';
$_SESSION['cart'][] = '商品B';
?>

このようにセッションに商品情報を保存しておくことで、カートの中身が別ページでも維持されます。