user_guide/libraries/sessions.html

   1 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
   2 <html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en" lang="en">
   3 <head>
   4
   5 <meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
   6 <title>Session Class : CodeIgniter User Guide</title>
   7
   8 <style type='text/css' media='all'>@import url('../userguide.css');</style>
   9 <link rel='stylesheet' type='text/css' media='all' href='../userguide.css' />
  10
  11 <script type="text/javascript" src="../nav/nav.js"></script>
  12 <script type="text/javascript" src="../nav/prototype.lite.js"></script>
  13 <script type="text/javascript" src="../nav/moo.fx.js"></script>
  14 <script type="text/javascript" src="../nav/user_guide_menu.js"></script>
  15
  16 <meta http-equiv='expires' content='-1' />
  17 <meta http-equiv= 'pragma' content='no-cache' />
  18 <meta name='robots' content='all' />
  19 <meta name='author' content='ExpressionEngine Dev Team' />
  20 <meta name='description' content='CodeIgniter User Guide' />
  21
  22 </head>
  23 <body>
  24
  25 <!-- START NAVIGATION -->
  26 <div id="nav"><div id="nav_inner"><script type="text/javascript">create_menu('../');</script></div></div>
  27 <div id="nav2"><a name="top"></a><a href="javascript:void(0);" onclick="myHeight.toggle();"><img src="../images/nav_toggle_darker.jpg" width="154" height="43" border="0" title="Toggle Table of Contents" alt="Toggle Table of Contents" /></a></div>
  28 <div id="masthead">
  29 <table cellpadding="0" cellspacing="0" border="0" style="width:100%">
  30 <tr>
  31 <td><h1>CodeIgniter User Guide Version 2.0.2</h1></td>
  32 <td id="breadcrumb_right"><a href="../toc.html">Table of Contents Page</a></td>
  33 </tr>
  34 </table>
  35 </div>
  36 <!-- END NAVIGATION -->
  37
  38
  39 <!-- START BREADCRUMB -->
  40 <table cellpadding="0" cellspacing="0" border="0" style="width:100%">
  41 <tr>
  42 <td id="breadcrumb">
  43 <a href="http://codeigniter.com/">CodeIgniter Home</a> &nbsp;&#8250;&nbsp;
  44 <a href="../index.html">User Guide Home</a> &nbsp;&#8250;&nbsp;
  45 Session Class
  46 </td>
  47 <td id="searchbox"><form method="get" action="http://www.google.com/search"><input type="hidden" name="as_sitesearch" id="as_sitesearch" value="codeigniter.com/user_guide/" />Search User Guide&nbsp; <input type="text" class="input" style="width:200px;" name="q" id="q" size="31" maxlength="255" value="" />&nbsp;<input type="submit" class="submit" name="sa" value="Go" /></form></td>
  48 </tr>
  49 </table>
  50 <!-- END BREADCRUMB -->
  51
  52 <br clear="all" />
  53
  54
  55 <!-- START CONTENT -->
  56 <div id="content">
  57
  58
  59 <h1>Session Class</h1>
  60
  61 <p>The Session class permits you maintain a user's "state" and track their activity while they browse your site.
  62 The Session class stores session information for each user as serialized (and optionally encrypted) data in a cookie.
  63 It can also store the session data in a database table for added security, as this permits the session ID in the
  64 user's cookie to be matched against the stored session ID. By default only the cookie is saved.  If you choose to
  65 use the database option you'll need to create the session table as indicated below.
  66 </p>
  67
  68 <p class="important"><strong>Note:</strong> The Session class does <strong>not</strong> utilize native PHP sessions. It
  69 generates its own session data, offering more flexibility for developers.</p>
  70
  71 <p class="important"><strong>Note:</strong> Even if you are not using encrypted sessions, you must set
  72 an <a href="./encryption.html">encryption key</a> in your config file which is used to aid in preventing session data manipulation.</p>
  73
  74 <h2>Initializing a Session</h2>
  75
  76 <p>Sessions will typically run globally with each page load, so the session class must either be
  77 <a href="../general/libraries.html">initialized</a> in your
  78 <a href="../general/controllers.html">controller</a> constructors, or it can be
  79 <a href="../general/autoloader.html">auto-loaded</a> by the system.
  80 For the most part the session class will run unattended in the background, so simply initializing the class
  81 will cause it to read, create, and update sessions.</p>
  82
  83
  84 <p>To initialize the Session class manually in your controller constructor, use the <dfn>$this->load->library</dfn> function:</p>
  85
  86 <code>$this->load->library('session');</code>
  87 <p>Once loaded, the Sessions library object will be available using: <dfn>$this->session</dfn></p>
  88
  89
  90 <h2>How do Sessions work?</h2>
  91
  92 <p>When a page is loaded, the session class will check to see if valid session data exists in the user's session cookie.
  93 If sessions data does <strong>not</strong> exist (or if it has expired) a new session will be created and saved in the cookie.
  94 If a session does exist, its information will be updated and the cookie will be updated. With each update, the session_id will be regenerated.</p>
  95
  96 <p>It's important for you to understand that once initialized, the Session class runs automatically.  There is nothing
  97 you need to do to cause the above behavior to happen.  You can, as you'll see below, work with session data or
  98 even add your own data to a user's session, but the process of reading, writing, and updating a session is automatic.</p>
  99
 100
 101 <h2>What is Session Data?</h2>
 102
 103 <p>A <em>session</em>, as far as CodeIgniter is concerned, is simply an array containing the following information:</p>
 104
 105 <ul>
 106 <li>The user's unique Session ID (this is a statistically random string with very strong entropy, hashed with MD5 for portability, and regenerated (by default) every five minutes)</li>
 107 <li>The user's IP Address</li>
 108 <li>The user's User Agent data (the first 50 characters of the browser data string)</li>
 109 <li>The "last activity"  time stamp.</li>
 110 </ul>
 111
 112 <p>The above data is stored in a cookie as a serialized array with this prototype:</p>
 113
 114 <code>[array]<br />
 115 (<br />
 116 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;'session_id'&nbsp;&nbsp;&nbsp;&nbsp;=> random hash,<br />
 117 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;'ip_address'&nbsp;&nbsp;&nbsp;&nbsp;=> 'string - user IP address',<br />
 118 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;'user_agent'&nbsp;&nbsp;&nbsp;&nbsp;=> 'string - user agent data',<br />
 119 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;'last_activity' => timestamp<br />
 120 )</code>
 121
 122 <p>If you have the encryption option enabled, the serialized array will be encrypted before being stored in the cookie,
 123 making the data highly secure and impervious to being read or altered by someone. More info regarding encryption
 124 can be <a href="encryption.html">found here</a>, although the Session class will take care of initializing
 125 and encrypting the data automatically.</p>
 126
 127 <p>Note: Session cookies are only updated every five minutes by default to reduce processor load.  If you repeatedly reload a page
 128 you'll notice that the "last activity" time only updates if five minutes or more has passed since the last time
 129 the cookie was written. This time is configurable by changing the $config['sess_time_to_update'] line in your system/config/config.php file.</p>
 130
 131 <h2>Retrieving Session Data</h2>
 132
 133 <p>Any piece of information from the session array is available using the following function:</p>
 134
 135 <code>$this->session->userdata('<samp>item</samp>');</code>
 136
 137 <p>Where <samp>item</samp> is the array index corresponding to the item you wish to fetch.  For example, to fetch the session ID you
 138 will do this:</p>
 139
 140 <code>$session_id = $this->session->userdata('<samp>session_id</samp>');</code>
 141
 142 <p><strong>Note:</strong> The function returns FALSE (boolean) if the item you are trying to access does not exist.</p>
 143
 144
 145 <h2>Adding Custom Session Data</h2>
 146
 147 <p>A useful aspect of the session array is that you can add your own data to it and it will be stored in the user's cookie.
 148 Why would you want to do this?  Here's one example:</p>
 149
 150 <p>Let's say a particular user logs into your site. Once authenticated,
 151 you could add their username and email address to the session cookie, making that data globally available to you without
 152 having to run a database query when you need it.</p>
 153
 154 <p>To add your data to the session array involves passing an array containing your new data to this function:</p>
 155
 156 <code>$this->session->set_userdata(<samp>$array</samp>);</code>
 157
 158 <p>Where <samp>$array</samp> is an associative array containing your new data.  Here's an example:</p>
 159
 160
 161 <p><code>$newdata = array(<br />
 162         &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;'username'&nbsp; => 'johndoe',<br />
 163         &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;'email'&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;=> 'johndoe@some-site.com',<br />
 164         &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;'logged_in' => TRUE<br />
 165         &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;);<br />
 166         <br />
 167         $this->session->set_userdata(<samp>$newdata</samp>);</code></p>
 168 <p>If you want to add userdata one value at a time, set_userdata() also supports this syntax. </p>
 169 <p><code>$this-&gt;session-&gt;set_userdata('some_name', 'some_value');</code></p>
 170 <p class="important"><strong>Note:</strong> Cookies can only hold 4KB of data, so be careful not to exceed the capacity.  The
 171 encryption process in particular produces a longer data string than the original so keep careful track of how much data you are storing.</p>
 172
 173 <h2>Removing Session Data</h2>
 174 <p>Just as set_userdata() can be used to add information into a session, unset_userdata() can be used to remove it, by passing the session key. For example, if you wanted to remove 'some_name' from your session information: </p>
 175 <p><code>$this-&gt;session-&gt;unset_userdata('some_name');</code></p>
 176 <p>This function can also be passed an associative array of items to unset.</p>
 177 <p><code>$array_items = array('username' => '', 'email' => '');<br />
 178 <br />
 179 $this-&gt;session-&gt;unset_userdata(<samp>$array_items</samp>);</code></p>
 180 <h2>Flashdata</h2>
 181 <p>CodeIgniter supports &quot;flashdata&quot;, or session data that will only be available for the next server request, and are then automatically cleared. These can be very useful, and are typically used for informational or status messages (for example: &quot;record 2 deleted&quot;).</p>
 182 <p>Note: Flash variables are prefaced with &quot;flash_&quot; so avoid this prefix in your own session names.</p>
 183 <p>To add flashdata:</p>
 184 <p><code>$this-&gt;session-&gt;set_flashdata('item', 'value');</code></p>
 185 <p>You can also pass an array to set_flashdata(), in the same manner as set_userdata(). </p>
 186 <p>To read a flashdata variable:</p>
 187 <p><code>$this-&gt;session-&gt;flashdata('item');</code></p>
 188 <p>If you find that you need to preserve a flashdata variable through an additional request, you can do so using the keep_flashdata() function.</p>
 189 <p><code>$this-&gt;session-&gt;keep_flashdata('item');</code></p>
 190 <h2>Saving Session Data to a Database</h2>
 191 <p>While the session data array stored in the user's cookie contains a Session ID,
 192 unless you store session data in a database there is no way to validate it.  For some applications that require little or no
 193 security, session ID validation may not be needed, but if your application requires security, validation is mandatory.  Otherwise, an old session
 194 could be restored by a user modifying their cookies.</p>
 195
 196 <p>When session data is available in a database, every time a valid session is found in the user's cookie, a database
 197 query is performed to match it.  If the session ID does not match, the session is destroyed.  Session IDs can never
 198 be updated, they can only be generated when a new session is created.</p>
 199
 200
 201 <p>In order to store sessions, you must first create a database table for this purpose.  Here is the basic
 202 prototype (for MySQL) required by the session class:</p>
 203
 204 <textarea class="textarea" style="width:100%" cols="50" rows="8">
 205 CREATE TABLE IF NOT EXISTS  `ci_sessions` (
 206 session_id varchar(40) DEFAULT '0' NOT NULL,
 207 ip_address varchar(16) DEFAULT '0' NOT NULL,
 208 user_agent varchar(50) NOT NULL,
 209 last_activity int(10) unsigned DEFAULT 0 NOT NULL,
 210 user_data text DEFAULT '' NOT NULL,
 211 PRIMARY KEY (session_id)
 212 );</textarea>
 213
 214 <p><strong>Note:</strong> By default the table is called <dfn>ci_sessions</dfn>, but you can name it anything you want
 215 as long as you update the <kbd>application/config/config.php</kbd> file so that it contains the name you have chosen.
 216 Once you have created your database table you can enable the database option in your config.php file as follows:</p>
 217
 218 <code>$config['sess_use_database'] = TRUE;</code>
 219
 220 <p>Once enabled, the Session class will store session data in the DB.</p>
 221
 222 <p>Make sure you've specified the table name in your config file as well:</p>
 223
 224 <code>$config['sess_table_name'] = 'ci_sessions';</code>
 225
 226 <p class="important"><strong>Note:</strong> The Session class has built-in garbage collection which clears out expired sessions so you
 227 do not need to write your own routine to do it.</p>
 228
 229
 230 <h2>Destroying a Session </h2>
 231 <p>To clear the current session: </p>
 232 <code>$this-&gt;session-&gt;sess_destroy();</code>
 233 <p class="important"><strong>Note:</strong> This function should be the last one called, and even flash variables will no longer be available.  If you only want some items destroyed and not all, use <dfn>unset_userdata()</dfn>.</p>
 234
 235
 236
 237 <h2>Session Preferences</h2>
 238 <p>You'll find the following Session related preferences in your <kbd>application/config/config.php</kbd> file:</p>
 239
 240
 241 <table cellpadding="0" cellspacing="1" border="0" style="width:100%" class="tableborder">
 242 <tr>
 243         <th>Preference</th>
 244         <th>Default</th>
 245         <th>Options</th>
 246         <th>Description</th>
 247 </tr>
 248 <tr>
 249         <td class="td"><strong>sess_cookie_name</strong></td>
 250         <td class="td">ci_session</td>
 251         <td class="td">None</td>
 252         <td class="td">The name you want the session cookie saved as.</td>
 253 </tr>
 254 <tr>
 255         <td class="td"><strong>sess_expiration</strong></td>
 256         <td class="td">7200</td>
 257         <td class="td">None</td>
 258         <td class="td">The number of seconds you would like the session to last. The default value is 2 hours (7200 seconds). If you would like a non-expiring session set the value to zero: 0</td>
 259 </tr>
 260 <tr>
 261         <td class="td"><strong>sess_expire_on_close</strong></td>
 262         <td class="td">FALSE</td>
 263         <td class="td">TRUE/FALSE (boolean)</td>
 264         <td class="td">Whether to cause the session to expire automatically when the browser window is closed.</td>
 265 </tr>
 266 <tr>
 267         <td class="td"><strong>sess_encrypt_cookie</strong></td>
 268         <td class="td">FALSE</td>
 269         <td class="td">TRUE/FALSE (boolean)</td>
 270         <td class="td">Whether to encrypt the session data.</td>
 271 </tr>
 272 <tr>
 273         <td class="td"><strong>sess_use_database</strong></td>
 274         <td class="td">FALSE</td>
 275         <td class="td">TRUE/FALSE (boolean)</td>
 276         <td class="td">Whether to save the session data to a database.  You must create the table before enabling this option.</td>
 277 </tr>
 278 <tr>
 279         <td class="td"><strong>sess_table_name</strong></td>
 280         <td class="td">ci_sessions</td>
 281         <td class="td">Any valid SQL table name</td>
 282         <td class="td">The name of the session database table.</td>
 283 </tr>
 284 <tr>
 285         <td class="td"><strong>sess_time_to_update</strong></td>
 286         <td class="td">300</td>
 287         <td class="td">Time in seconds</td>
 288         <td class="td">This options controls how often the session class will regenerate itself and create a new session id.</td>
 289 </tr>
 290 <tr>
 291         <td class="td"><strong>sess_match_ip</strong></td>
 292         <td class="td">FALSE</td>
 293         <td class="td">TRUE/FALSE (boolean)</td>
 294         <td class="td">Whether to match the user's IP address when reading the session data.  Note that some ISPs dynamically
 295         changes the IP, so if you want a non-expiring session you will likely set this to FALSE.</td>
 296 </tr>
 297 <tr>
 298         <td class="td"><strong>sess_match_useragent</strong></td>
 299         <td class="td">TRUE</td>
 300         <td class="td">TRUE/FALSE (boolean)</td>
 301         <td class="td">Whether to match the User Agent when reading the session data.</td>
 302 </tr>
 303 </table>
 304
 305
 306 </div>
 307 <!-- END CONTENT -->
 308
 309
 310 <div id="footer">
 311 <p>
 312 Previous Topic:&nbsp;&nbsp;<a href="security.html">Security Class</a>
 313 &nbsp;&nbsp;&nbsp;&middot;&nbsp;&nbsp;
 314 <a href="#top">Top of Page</a>&nbsp;&nbsp;&nbsp;&middot;&nbsp;&nbsp;
 315 <a href="../index.html">User Guide Home</a>&nbsp;&nbsp;&nbsp;&middot;&nbsp;&nbsp;
 316 Next Topic:&nbsp;&nbsp;<a href="trackback.html">Trackback Class</a>
 317 </p>
 318 <p><a href="http://codeigniter.com">CodeIgniter</a> &nbsp;&middot;&nbsp; Copyright &#169; 2006 - 2011 &nbsp;&middot;&nbsp; <a href="http://ellislab.com/">EllisLab, Inc.</a></p>
 319 </div>
 320
 321 </body>
 322 </html>