1. ユーザー認証管理#

ログイン状態の維持に最も頻繁に使用されます：

1
session_start();
2
if ($_POST['username'] === 'admin' && $_POST['password'] === 'secret') {
3
    $_SESSION['loggedin'] = true;
4
    $_SESSION['username'] = 'admin';
5
}

認証後、全ページで$_SESSION['loggedin']を確認してアクセス制御が可能。

2. データの一時保存#

3. セキュリティ関連#

• CSRFトークンの生成・検証
• 認証試行回数の記録
• セッションハイジャック対策（session_regenerate_id(true)によるID再生成）

セッションのライフサイクル#

1. 開始: session_start()でサーバーにセッションファイル作成
2. ID発行: 一意のセッションIDを生成（例: PHPSESSID=3c7fj29cd8a3）
3. データ保存: $_SESSIONスーパーグローバル変数に連想配列形式で格納
4. 終了: session_destroy()でサーバー側データ削除

データ保存の仕組み#

1
graph LR
2
    A[ブラウザ] -->|セッションID| B(PHPサーバー)
3
    B -->|ファイル/DB| C[セッションデータ]

• クライアント側: セッションIDのみCookie（またはURLパラメータ）で保持
• サーバー側: セッションIDに対応するデータをファイル/RDB/NoSQLに保存

必須プラクティス#

1
// セッション開始（スクリプト最上部で実行）
2
session_start();
3

4
// セキュリティ強化
5
ini_set('session.cookie_httponly', 1);
6
ini_set('session.cookie_secure', 1);
7

8
// データ保存例
9
$_SESSION['user'] = [
10
    'id' => 123,
11
    'last_access' => time()
12
];
13

14
// 適切な終了処理
15
$_SESSION = []; // メモリ上のデータクリア
16
session_destroy(); // サーバー側データ削除

セキュリティ対策#

1. セッションIDの再生成: 権限昇格時にsession_regenerate_id(true)を実行
2. Cookie設定: HttpOnlyとSecureフラグを有効化
3. タイムアウト: session.gc_maxlifetimeで有効期限設定
4. サニタイズ: $_SESSIONへの直接代入を避け、入力検証を実施