Opasarkisto: PHP 4 -opas: Osa 7 - Evästeet ja istunnot

Kun käyttäjä kirjautuu tunnuksellaan ja salasanallaan sisälle Internet-palveluun, kirjautuminen on voimassa sivulta toiselle. Verkkokaupoissa taas ostoskorin sisältö säilyy tallessa aina maksuun saakka. Tällaisia tilanteita varten tarvitaan tekniikka käyttäjäkohtaisen tiedon pysyvään säilyttämiseen. Tekniikoista suosituimmat ovat evästeet ja istunnot.

Evästeet

Vanhin ja varmaan yleisin toteutustapa on käyttää evästeitä (cookies, "keksit"). Eväste on pieni tiedonmurunen, tekstinpätkä, jonka selain tallentaa käyttäjän koneelle. Evästeet liittyvät aina yhteen palveluun, ja niillä on tietty voimassaoloaika. Selaimen asetuksista voi kuitenkin kytkeä pois evästeet, minkä vuoksi niiden ei voi olettaa toimivan kaikilla käyttäjillä. Jotkut näet pitävät evästeitä uhkana yksityisyydelle.

Evästeen luominen ja poistaminen

Eväste luodaan PHP:n setcookie-funktiolla. Ensimmäinen parametri on nimi, jolla evästeeseen myöhemmin viitataan. Toinen parametri on evästeen arvo, tallennettava tieto. Kolmas parametri kertoo, kuinka kauan eväste säilyy käyttäjän koneella. Jos kolmatta parametria ei ole annettu, eväste on voimassa istunnon ajan eli niin kauan kuin selainikkunaa ei suljeta.

(maaritys_e.php)
<?php
//luo evästeen nimi, jonka arvo on Juho
setcookie("nimi", "Juho");
//tämä eväste on voimassa seuraavat 10 minuuttia
setcookie("auto", "Honda", time() + 60 * 10);
?>

Joillakin sivuilla kirjautuminen tuntuu olevan voimassa selauskerrasta toiseen, kun käyttäjätunnuksen ja salasanan kerran syöttää. Tällöin evästeen voimassaoloaika on sijoitettu kauas tulevaisuuteen, esimerkiksi vuoden päähän (time() + 60 * 60 * 24 * 365).

Evästeen poistaminen tapahtuu samalla funktiolla, mutta nyt arvo on tyhjä merkkijono. Tällä kertaa voimassaoloaika on asetettava menneisyyteen, jotta poistaminen onnistuu oikein kaikilla selaimilla. Seuraava skripti poistaa ne evästeet, jotka edellinen skripti loi.

(poisto_e.php)
<?php
//poistetaan edellisessä esimerkissä luodut evästeet
setcookie("nimi", "");
setcookie("auto", "", time() - 60 * 10);
?>

Evästeet on luotava ja poistettava ennen kuin mitään muuta kirjoitetaan sivulle, koska ne kulkevat sivun otsikkotietojen mukana.

Evästeen lukeminen

Evästeiden lukeminen on mahdollista $_COOKIE-taulukon kautta (vanhemmissa PHP:n versioissa taulukon nimi oli $HTTP_COOKIE_VARS) tai - PHP:n asetuksista riippuen - samannimisistä muuttujista. Seuraava skripti tulostaa evästeiden sisältämät tiedot, jos toinen skripti on ne ensin asettanut.

(luku_e.php)
<?php
//haetaan ensimmäisessä esimerkissä luodut evästeet muuttujiin
$nimi = $_COOKIE["nimi"];
$auto = $_COOKIE["auto"];
//tulostetaan evästeiden tiedot
echo "{$nimi}n auto on $auto";
?>

Jos odotetaan kymmenen minuuttia, auton merkki ei enää näy sivulla. Jos selain avataan uudestaan, nimi häviää. Jos suoritetaan toinen esimerkkiskripti tai tuhotaan evästeet selaimen asetuksista, kummatkin tiedot katoavat.

Istunnot

Istuntojen toiminta perustuu siihen, että palvelun käyttäjälle muodostetaan yksilöllinen id-tunnus, joka joko tallennetaan evästeeseen tai kulkee URL:n mukana. Palvelimelle luodaan PHP:n asetuksissa määriteltyyn hakemistoon id-tunnusta vastaava tiedosto, johon istunnossa käytetyt muuttujat tallentuvat.

Istuntojen käyttäminen

Istunto aloitetaan session_start-funktion avulla. Tämän jälkeen istunnon muuttujia käsitellään $_SESSION-taulukon kautta (entinen $HTTP_SESSION_VARS). Esimerkki määrittää kaksi istuntomuuttujaa.

(maaritys_i.php)
<?php
//aloitetaan istunto
session_start();
//määritetään istuntomuuttujat
$_SESSION["nimi"] = "Juho";
$_SESSION["auto"] = "Honda";
?>

Muuttujien lukeminen onnistuu suoraan samasta taulukosta. Tämä skripti lukee ja tulostaa edellisessä esimerkissä määritetyt istuntomuuttujat.

(luku_i.php)
<?php
//aloitetaan istunto
session_start();
//luetaan istuntomuuttujat
$nimi = $_SESSION["nimi"];
$auto = $_SESSION["auto"];
//tulostetaan tiedot
echo "{$nimi}n auto on $auto";
?>

Istuntomuuttujat poistetaan unset-funktiolla.

(poisto_i.php)
<?php
//aloitetaan istunto
session_start();
//poistetaan istuntomuuttujat
unset($_SESSION["nimi"]);
unset($_SESSION["auto"]);
?>

Palvelimella oleva istuntotiedosto, johon edellisissä esimerkeissä käytetyt muuttujat on tallennettu, voisi näyttää tältä tekstieditorissa:

auto|s:5:"Honda";nimi|s:4:"Juho";

Salasanat kirjautumisessa

Sekä evästeiden että istuntojen avulla on mahdollista tehdä kirjautumisjärjestelmä, mutta kuinka salasanat pitäisi tallentaa? Eräs turvallinen tapa on käyttää MD5-algoritmia (PHP:ssä md5-funktio).

MD5-algoritmi ei kryptaa salasanaa, vaan laskee siitä 32 merkkiä pitkän numeroista ja kirjaimista a - f koostuvan tarkistussumman, "hashin". Tarkistussummaa voisi verrata jakojäännökseen: siitä ei ole mahdollista selvittää alkuperäistä salasanaa, mutta kahden tarkistussumman vertaaminen paljastaa salasanan oikeellisuuden.

Tämän menetelmän varjopuoli on se, että jos käyttäjä unohtaa salasanansa, sitä ei tiedä edes sivun ylläpitäjä. Lisäksi on syytä muistaa, että turvallisesta tekniikasta huolimatta lyhyet salasanat murtuvat nopeasti kaikkia vaihtoehtoja kokeilemalla, jos tarkistussumma ajautuu ulkopuolisten tietoon.

Loppusanat

Opassarjaan on tulossa näillä näkymin vielä kaksi osaa, joista seuraava, muutaman viikon päästä ilmestyvä osa käsittelee MySQL-tietokannan käyttämistä PHP:n kautta.

Antti Laaksonen, 15.6.2003