# Sessions 和 Cookies
[譯注：Session中文翻譯為會話，Cookie有些翻譯成小甜餅，不貼切，兩個單詞保留英文] Sessions 和 cookies 允許數據在多次請求中保持， 在純PHP中，可以分別使用全局變量`$_SESSION`?和`$_COOKIE`?來訪問，Yii將session和cookie封裝成對象并增加一些功能， 可通過面向對象方式訪問它們。
## Sessions
和?[請求](http://www.yiichina.com/doc/guide/2.0/runtime-requests)?和?[響應](http://www.yiichina.com/doc/guide/2.0/runtime-responses)類似， 默認可通過為yii\web\Session 實例的`session`?[應用組件](http://www.yiichina.com/doc/guide/2.0/structure-application-components)?來訪問sessions。
### 開啟和關閉 Sessions
可使用以下代碼來開啟和關閉session。
~~~
$session = Yii::$app->session;
// 檢查session是否開啟
if ($session->isActive) ...
// 開啟session
$session->open();
// 關閉session
$session->close();
// 銷毀session中所有已注冊的數據
$session->destroy();
~~~
多次調用yii\web\Session::open() 和yii\web\Session::close() 方法并不會產生錯誤， 因為方法內部會先檢查session是否已經開啟。
### 訪問Session數據
To access the data stored in session, you can do the following: 可使用如下方式訪問session中的數據：
~~~
$session = Yii::$app->session;
// 獲取session中的變量值，以下用法是相同的：
$language = $session->get('language');
$language = $session['language'];
$language = isset($_SESSION['language']) ? $_SESSION['language'] : null;
// 設置一個session變量，以下用法是相同的：
$session->set('language', 'en-US');
$session['language'] = 'en-US';
$_SESSION['language'] = 'en-US';
// 刪除一個session變量，以下用法是相同的：
$session->remove('language');
unset($session['language']);
unset($_SESSION['language']);
// 檢查session變量是否已存在，以下用法是相同的：
if ($session->has('language')) ...
if (isset($session['language'])) ...
if (isset($_SESSION['language'])) ...
// 遍歷所有session變量，以下用法是相同的：
foreach ($session as $name => $value) ...
foreach ($_SESSION as $name => $value) ...
~~~
> 補充: 當使用`session`組件訪問session數據時候，如果session沒有開啟會自動開啟， 這和通過`$_SESSION`不同，`$_SESSION`要求先執行`session_start()`。
當session數據為數組時，`session`組件會限制你直接修改數據中的單元項，例如：
~~~
$session = Yii::$app->session;
// 如下代碼不會生效
$session['captcha']['number'] = 5;
$session['captcha']['lifetime'] = 3600;
// 如下代碼會生效：
$session['captcha'] = [
'number' => 5,
'lifetime' => 3600,
];
// 如下代碼也會生效：
echo $session['captcha']['lifetime'];
~~~
可使用以下任意一個變通方法來解決這個問題：
~~~
$session = Yii::$app->session;
// 直接使用$_SESSION (確保Yii::$app->session->open() 已經調用)
$_SESSION['captcha']['number'] = 5;
$_SESSION['captcha']['lifetime'] = 3600;
// 先獲取session數據到一個數組，修改數組的值，然后保存數組到session中
$captcha = $session['captcha'];
$captcha['number'] = 5;
$captcha['lifetime'] = 3600;
$session['captcha'] = $captcha;
// 使用ArrayObject 數組對象代替數組
$session['captcha'] = new \ArrayObject;
...
$session['captcha']['number'] = 5;
$session['captcha']['lifetime'] = 3600;
// 使用帶通用前綴的鍵來存儲數組
$session['captcha.number'] = 5;
$session['captcha.lifetime'] = 3600;
~~~
為更好的性能和可讀性，推薦最后一種方案，也就是不用存儲session變量為數組， 而是將每個數組項變成有相同鍵前綴的session變量。
### 自定義Session存儲
yii\web\Session 類默認存儲session數據為文件到服務器上，Yii提供以下session類實現不同的session存儲方式：
* yii\web\DbSession: 存儲session數據在數據表中
* yii\web\CacheSession: 存儲session數據到緩存中，緩存和配置中的[緩存組件](http://www.yiichina.com/doc/guide/2.0/caching-data#cache-components)相關
* yii\redis\Session: 存儲session數據到以[redis](http://redis.io/)?作為存儲媒介中
* yii\mongodb\Session: 存儲session數據到[MongoDB](http://www.mongodb.org/).
所有這些session類支持相同的API方法集，因此，切換到不同的session存儲介質不需要修改項目使用session的代碼。
> 注意: 如果通過`$_SESSION`訪問使用自定義存儲介質的session，需要確保session已經用yii\web\Session::open() 開啟， 這是因為在該方法中注冊自定義session存儲處理器。
學習如何配置和使用這些組件類請參考它們的API文檔，如下為一個示例 顯示如何在應用配置中配置yii\web\DbSession將數據表作為session存儲介質。
~~~
return [
'components' => [
'session' => [
'class' => 'yii\web\DbSession',
// 'db' => 'mydb', // 數據庫連接的應用組件ID，默認為'db'.
// 'sessionTable' => 'my_session', // session 數據表名，默認為'session'.
],
],
];
~~~
也需要創建如下數據庫表來存儲session數據：
~~~
CREATE TABLE session
(
id CHAR(40) NOT NULL PRIMARY KEY,
expire INTEGER,
data BLOB
)
~~~
其中'BLOB' 對應你選擇的數據庫管理系統的BLOB-type類型，以下一些常用數據庫管理系統的BLOB類型：
* MySQL: LONGBLOB
* PostgreSQL: BYTEA
* MSSQL: BLOB
> 注意: 根據php.ini 設置的?`session.hash_function`，你需要調整`id`列的長度， 例如，如果`session.hash_function=sha256`?，應使用長度為64而不是40的char類型。
### Flash 數據
Flash數據是一種特別的session數據，它一旦在某個請求中設置后，只會在下次請求中有效，然后該數據就會自動被刪除。 常用于實現只需顯示給終端用戶一次的信息，如用戶提交一個表單后顯示確認信息。
可通過`session`應用組件設置或訪問`session`，例如：
~~~
$session = Yii::$app->session;
// 請求 #1
// 設置一個名為"postDeleted" flash 信息
$session->setFlash('postDeleted', 'You have successfully deleted your post.');
// 請求 #2
// 顯示名為"postDeleted" flash 信息
echo $session->getFlash('postDeleted');
// 請求 #3
// $result 為 false，因為flash信息已被自動刪除
$result = $session->hasFlash('postDeleted');
~~~
和普通session數據類似，可將任意數據存儲為flash數據。
當調用yii\web\Session::setFlash()時, 會自動覆蓋相同名的已存在的任何數據， 為將數據追加到已存在的相同名flash中，可改為調用yii\web\Session::addFlash()。 例如:
~~~
$session = Yii::$app->session;
// 請求 #1
// 在名稱為"alerts"的flash信息增加數據
$session->addFlash('alerts', 'You have successfully deleted your post.');
$session->addFlash('alerts', 'You have successfully added a new friend.');
$session->addFlash('alerts', 'You are promoted.');
// 請求 #2
// $alerts 為名為'alerts'的flash信息，為數組格式
$alerts = $session->getFlash('alerts');
~~~
> 注意: 不要在相同名稱的flash數據中使用yii\web\Session::setFlash() 的同時也使用yii\web\Session::addFlash()， 因為后一個防范會自動將flash信息轉換為數組以使新的flash數據可追加進來，因此， 當你調用yii\web\Session::getFlash()時，會發現有時獲取到一個數組，有時獲取到一個字符串， 取決于你調用這兩個方法的順序。
## Cookies
Yii使用 yii\web\Cookie對象來代表每個cookie，yii\web\Request 和 yii\web\Response 通過名為'cookies'的屬性維護一個cookie集合，前者的cookie 集合代表請求提交的cookies， 后者的cookie集合表示發送給用戶的cookies。
### 讀取 Cookies
當前請求的cookie信息可通過如下代碼獲取：
~~~
// 從 "request"組件中獲取cookie集合(yii\web\CookieCollection)
$cookies = Yii::$app->request->cookies;
// 獲取名為 "language" cookie 的值，如果不存在，返回默認值"en"
$language = $cookies->getValue('language', 'en');
// 另一種方式獲取名為 "language" cookie 的值
if (($cookie = $cookies->get('language')) !== null) {
$language = $cookie->value;
}
// 可將 $cookies當作數組使用
if (isset($cookies['language'])) {
$language = $cookies['language']->value;
}
// 判斷是否存在名為"language" 的 cookie
if ($cookies->has('language')) ...
if (isset($cookies['language'])) ...
~~~
### 發送 Cookies
You can send cookies to end users using the following code: 可使用如下代碼發送cookie到終端用戶：
~~~
// 從"response"組件中獲取cookie 集合(yii\web\CookieCollection)
$cookies = Yii::$app->response->cookies;
// 在要發送的響應中添加一個新的cookie
$cookies->add(new \yii\web\Cookie([
'name' => 'language',
'value' => 'zh-CN',
]));
// 刪除一個cookie
$cookies->remove('language');
// 等同于以下刪除代碼
unset($cookies['language']);
~~~
除了上述例子定義的 yii\web\Cookie::name 和 yii\web\Cookie::value 屬性 yii\web\Cookie 類也定義了其他屬性來實現cookie的各種信息，如 yii\web\Cookie::domain, yii\web\Cookie::expire 可配置這些屬性到cookie中并添加到響應的cookie集合中。
> 注意: 為安全起見yii\web\Cookie::httpOnly 被設置為true，這可減少客戶端腳本訪問受保護cookie（如果瀏覽器支持）的風險， 更多詳情可閱讀?[httpOnly wiki article](https://www.owasp.org/index.php/HttpOnly)?for more details.
### Cookie驗證
在上兩節中，當通過`request`?和?`response`?組件讀取和發送cookie時，你會喜歡擴展的cookie驗證的保障安全功能，它能 使cookie不被客戶端修改。該功能通過給每個cookie簽發一個哈希字符串來告知服務端cookie是否在客戶端被修改， 如果被修改，通過`request`組件的yii\web\Request::cookiescookie集合訪問不到該cookie。
> 注意: Cookie驗證只保護cookie值被修改，如果一個cookie驗證失敗，仍然可以通過`$_COOKIE`來訪問該cookie， 因為這是第三方庫對未通過cookie驗證自定義的操作方式。
Cookie驗證默認啟用，可以設置yii\web\Request::enableCookieValidation屬性為false來禁用它，盡管如此，我們強烈建議啟用它。
> 注意: 直接通過`$_COOKIE`?和?`setcookie()`?讀取和發送的Cookie不會被驗證。
當使用cookie驗證，必須指定yii\web\Request::cookieValidationKey，它是用來生成s上述的哈希值， 可通過在應用配置中配置`request`?組件。
~~~
return [
'components' => [
'request' => [
'cookieValidationKey' => 'fill in a secret key here',
],
],
];
~~~
> 補充: yii\web\Request::cookieValidationKey 對你的應用安全很重要， 應只被你信任的人知曉，請不要將它放入版本控制中。
- 介紹（Introduction）
- 關于 Yii（About Yii）
- 從 Yii 1.1 升級（Upgrading from Version 1.1）
- 入門（Getting Started）
- 安裝 Yii（Installing Yii）
- 運行應用（Running Applications）
- 第一次問候（Saying Hello）
- 使用 Forms（Working with Forms）
- 玩轉 Databases（Working with Databases）
- 用 Gii 生成代碼（Generating Code with Gii）
- 更上一層樓（Looking Ahead）
- 應用結構（Application Structure）
- 結構概述（Overview）
- 入口腳本（Entry Scripts）
- 應用（Applications）
- 應用組件（Application Components）
- 控制器（Controllers）
- 模型（Models）
- 視圖（Views）
- 模塊（Modules）
- 過濾器（Filters）
- 小部件（Widgets）
- 前端資源（Assets）
- 擴展（Extensions）
- 請求處理（Handling Requests）
- 運行概述（Overview）
- 引導（Bootstrapping）
- 路由引導與創建 URL（Routing and URL Creation）
- 請求（Requests）
- 響應（Responses）
- Sessions and Cookies
- 錯誤處理（Handling Errors）
- 日志（Logging）
- 關鍵概念（Key Concepts）
- 組件（Components）
- 屬性（Properties）
- 事件（Events）
- 行為（Behaviors）
- 配置（Configurations）
- 別名（Aliases）
- 類自動加載（Class Autoloading）
- 服務定位器（Service Locator）
- 依賴注入容器（Dependency Injection Container）
- 配合數據庫工作（Working with Databases）
- 數據庫訪問（Data Access Objects）: 數據庫連接、基本查詢、事務和模式操作
- 查詢生成器（Query Builder）: 使用簡單抽象層查詢數據庫
- 活動記錄（Active Record）: 活動記錄對象關系映射（ORM），檢索和操作記錄、定義關聯關系
- 數據庫遷移（Migrations）: 在團體開發中對你的數據庫使用版本控制
- Sphinx
- Redis
- MongoDB
- ElasticSearch
- 接收用戶數據（Getting Data from Users）
- 創建表單（Creating Forms）
- 輸入驗證（Validating Input）
- 文件上傳（Uploading Files）
- 收集列表輸入（Collecting Tabular Input）
- 多模型同時輸入（Getting Data for Multiple Models）
- 顯示數據（Displaying Data）
- 格式化輸出數據（Data Formatting）
- 分頁（Pagination）
- 排序（Sorting）
- 數據提供器（Data Providers）
- 數據小部件（Data Widgets）
- 操作客戶端腳本（Working with Client Scripts）
- 主題（Theming）
- 安全（Security）
- 認證（Authentication）
- 授權（Authorization）
- 處理密碼（Working with Passwords）
- 客戶端認證（Auth Clients）
- 安全領域的最佳實踐（Best Practices）
- 緩存（Caching）
- 概述（Overview）
- 數據緩存（Data Caching）
- 片段緩存（Fragment Caching）
- 分頁緩存（Page Caching）
- HTTP 緩存（HTTP Caching）
- RESTful Web 服務
- 快速入門（Quick Start）
- 資源（Resources）
- 控制器（Controllers）
- 路由（Routing）
- 格式化響應（Response Formatting）
- 授權驗證（Authentication）
- 速率限制（Rate Limiting）
- 版本化（Versioning）
- 錯誤處理（Error Handling）
- 開發工具（Development Tools）
- 調試工具欄和調試器（Debug Toolbar and Debugger）
- 使用 Gii 生成代碼（Generating Code using Gii）
- TBD 生成 API 文檔（Generating API Documentation）
- 測試（Testing）
- 概述（Overview）
- 搭建測試環境（Testing environment setup）
- 單元測試（Unit Tests）
- 功能測試（Functional Tests）
- 驗收測試（Acceptance Tests）
- 測試夾具（Fixtures）
- 高級專題（Special Topics）
- 高級應用模版（Advanced Project Template）
- 從頭構建自定義模版（Building Application from Scratch）
- 控制臺命令（Console Commands）
- 核心驗證器（Core Validators）
- 國際化（Internationalization）
- 收發郵件（Mailing）
- 性能優化（Performance Tuning）
- 共享主機環境（Shared Hosting Environment）
- 模板引擎（Template Engines）
- 集成第三方代碼（Working with Third-Party Code）
- 小部件（Widgets）
- Bootstrap 小部件（Bootstrap Widgets）
- jQuery UI 小部件（jQuery UI Widgets）
- 助手類（Helpers）
- 助手一覽（Overview）
- Array 助手（ArrayHelper）
- Html 助手（Html）
- Url 助手（Url）