Kuinka sessiot ja evästeet toimivat PHP:ssä? · IT-haastatteluharjoittelu

Kuinka sessiot ja evästeet toimivat PHP:ssä?

Evästeet ovat pieniä tietoja, joita selaimen selain säilyttää ja lähettää jokaisen pyynnön kanssa; sessiot säilyttävät tietoja palvelimella, tunnistettuna session-ID-evästeellä. Yhdessä ne mahdollistavat tilan ylläpidon tilattoman HTTP-protokollan yli — ne ovat välttämättömiä kirjautumiselle, ostoskoreille ja asetuksille.

Evästeet — tietoja tallennettu asiakas-puolella

php



(, , [
     => () + ,    //  day
     => ,              // ❗ not readable by  (XSS protection)
     => ,                // ❗ only sent over HTTPS
     => ,          // ❗ CSRF protection
]);


 = [] ?? ;

php

<?php
session_start();    // start/resume the session (sets a session-ID cookie) — before output

// store data on the SERVER (only the session ID is in the browser cookie)
$_SESSION["user_id"] = 42;
$_SESSION["username"] = "ann";

// read it on later requests (after session_start)
$userId = $_SESSION["user_id"] ?? null;

// clear/destroy
unset($_SESSION["user_id"]);
session_destroy();

text

Cookie  → data stored in the BROWSER, sent each request, size-limited, user-visible
          → for non-sensitive prefs (theme), or the session ID itself
Session → data stored on the SERVER (DB/Redis/files), only the ID in a cookie
          → for sensitive/larger data (user identity, cart) — keep secrets server-side

text

✓ Use httponly + secure + samesite cookies (XSS & CSRF protection)
✓ Regenerate the session ID on login: session_regenerate_id(true) (prevents fixation)
✓ Don't store secrets in cookies; keep sensitive data in the SESSION (server-side)
✓ Use HTTPS so session cookies aren't intercepted

Kuinka sessiot ja evästeet toimivat PHP:ssä?

Evästeet — tietoja tallennettu asiakas-puolella

Sessiot — tietoja tallennettu palvelin-puolella

Evästeet vs sessiot

Turvallisuuden parhaat käytännöt

Miksi se on tärkeää