¿Cómo detecta PHP que se ha agotado el tiempo de espera de una sesión?

Question

Me pregunto cómo PHP detecta que se ha agotado el tiempo de una sesión específica.

En detalle: Estoy usando el controlador de sesión predeterminado (basado en archivos), con una duración de sesión predeterminada, y así sucesivamente. Todo en php.ini está predeterminado.

Si ahora se inicia una sesión, PHP realiza una comprobación (dependiendo de no session.gc_divisor y session.gc_probability) si hay alguna sesión expirada. Pero, ¿desde dónde obtiene PHP la última sesión de tiempo de acceso de las sesiones para comprobar?

El archivo de sesión en sí contiene solo la carga de trabajo, p. x|i:1; para un $_SESSION['x'] = 1;, por lo que no hay información sobre el tiempo de acceso a la última sesión.

Creo que no hay información en la memoria relacionada con los tiempos de inicio de la sesión, ya que las sesiones siguen funcionando después de un reinicio completo del servidor.

Entonces, ¿de dónde obtiene PHP la información? ¿Está comparando el mtime/ctime del archivo de sesión?

Answer 1

El controlador de sesión predeterminado de PHP almacena los datos $ _SESSION en un archivo usando serialize(), en el directorio especificado por session.save_path. En general, el nombre del archivo es similar al $filename = 'sess_' . session_id().

Como es solo un archivo, PHP puede usar el mtime del archivo (hora de la última modificación) para determinar qué archivos de sesión están obsoletos. Básicamente tomará todos los archivos de sesión cuyo mtime excede el valor session.gc_maxlifetime y unlink(). Como ha dicho, la probabilidad de que se produzca la limpieza se rige por las variables ini session.gc_*.

Ahora, si crea sus propios manejadores de sesión con session_set_save_handler(), esto está fuera de la ventana, y ahora tiene control sobre cómo se almacenan y limpian las sesiones, pero esto explica el comportamiento predeterminado.