كيف تعمل الجلسات (Sessions) و ملفات تعريف الارتباط (Cookies) في PHP؟

ملفات تعريف الارتباط (Cookies) هي قطع صغيرة من البيانات المخزنة في المتصفح وتُرسل مع كل طلب؛ الجلسات (Sessions) تخزن البيانات على الخادم، يتم تحديدها بواسطة معرّف جلسة (session ID) في ملف تعريف ارتباط. معاً يمكّنان الحفاظ على الحالة عبر بروتوكول HTTP بدون حالة — وهو ضروري لتسجيل الدخول والعربات والتفضيلات.

ملفات تعريف الارتباط — البيانات المخزنة على جانب العميل

php



(, , [
     => () + ,    //  day
     => ,              // ❗ not readable by  (XSS protection)
     => ,                // ❗ only sent over HTTPS
     => ,          // ❗ CSRF protection
]);


 = [] ?? ;

php

<?php
session_start();    // start/resume the session (sets a session-ID cookie) — before output

// store data on the SERVER (only the session ID is in the browser cookie)
$_SESSION["user_id"] = 42;
$_SESSION["username"] = "ann";

// read it on later requests (after session_start)
$userId = $_SESSION["user_id"] ?? null;

// clear/destroy
unset($_SESSION["user_id"]);
session_destroy();

text

Cookie  → data stored in the BROWSER, sent each request, size-limited, user-visible
          → for non-sensitive prefs (theme), or the session ID itself
Session → data stored on the SERVER (DB/Redis/files), only the ID in a cookie
          → for sensitive/larger data (user identity, cart) — keep secrets server-side

text

✓ Use httponly + secure + samesite cookies (XSS & CSRF protection)
✓ Regenerate the session ID on login: session_regenerate_id(true) (prevents fixation)
✓ Don't store secrets in cookies; keep sensitive data in the SESSION (server-side)
✓ Use HTTPS so session cookies aren't intercepted

كيف تعمل الجلسات (Sessions) و ملفات تعريف الارتباط (Cookies) في PHP؟

ملفات تعريف الارتباط — البيانات المخزنة على جانب العميل

الجلسات — البيانات المخزنة على جانب الخادم

ملفات تعريف الارتباط مقابل الجلسات

أفضل الممارسات الأمنية

لماذا يهم