PHP: полный мануал с примерами, функциями и ООП

Зачем сессия: узнаём пользователя в следующем запросе

Нужен простой результат: на первой странице выбрать русский язык, на второй увидеть тот же выбор. Локальные переменные первого запроса исчезнут; сессия сохранит значение на сервере. Браузер получает только непрозрачный ключ cookie, а не весь массив данных.

session_start() вызывают до тела HTML: скобки запускают функцию. $_SESSION — массив текущей сессии; ['language'] выбирает ключ, = сохраняет значение. session_write_close() записывает изменения и закрывает хранилище. Cookie браузер отправит автоматически следующему запросу в подходящей области.

Распакуйте архив. Выполните php -S 127.0.0.1:8793 из его папки, откройте http://127.0.0.1:8793/save.php, затем ссылку «Следующая страница». Это намеренно заданный несекретный выбор для изучения механизма; пользовательские изменения и вход далее отправляются POST-формой.

<?php
declare(strict_types=1);
session_start(['use_strict_mode' => true]);
$_SESSION['language'] = 'Русский';
session_write_close();
header('Content-Type: text/html; charset=UTF-8');
echo '<!doctype html><html lang="ru"><meta name="viewport" content="width=device-width,initial-scale=1">';
echo '<title>Выбор языка</title><p>Язык сохранён: Русский.</p><a href="/read.php">Следующая страница</a></html>';

Первая страница: Язык сохранён: Русский.
По ссылке: Ваш язык: Русский.
В новом приватном окне: Ваш язык: ещё не выбран.

Во втором файле ?? выбирает запасной текст, если language отсутствует. htmlspecialchars превращает значение в безопасный HTML-текст. __DIR__ далее означает каталог текущего PHP-файла; require подключает общий файл до продолжения страницы.

<?php
declare(strict_types=1);
session_start(['use_strict_mode' => true]);
$language = $_SESSION['language'] ?? 'ещё не выбран';
session_write_close();
header('Content-Type: text/html; charset=UTF-8');
echo '<!doctype html><html lang="ru"><meta name="viewport" content="width=device-width,initial-scale=1"><title>Язык</title>';
echo '<p>Ваш язык: ', htmlspecialchars($language, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8'), '.</p></html>';

Авторизация отвечает на другой вопрос: разрешено ли этому пользователю конкретное действие. user_id записывает только проверенный серверный обработчик. Корзина не хранит окончательные цены/права: они могли измениться и читаются из актуального источника.

CSRF до большого проекта: зачем hidden-поле и что именно сравнивается

Чужая страница способна отправить форму на ваш домен: браузер приложит cookie входа автоматически. Синхронизирующий токен добавляет значение, которого у чужой страницы нет. Сервер создаёт его случайно, хранит в своей сессии, помещает в hidden-поле собственной формы и проверяет в каждом запросе, меняющем данные.

В коде ниже случайное значение намеренно не печатается. Мы наблюдаем решение, а не секрет. mixed нужен на границе запроса: злоумышленник может прислать csrf[]=x, поэтому сначала вызывается is_string. Только после этого hash_equals получает две строки; известный серверный эталон передаётся первым аргументом.

<?php
declare(strict_types=1);

$session = ['csrf' => bin2hex(random_bytes(32))];

function csrfAccepted(mixed $sent, string $known): bool
{
    return is_string($sent) && hash_equals($known, $sent);
}

$attempts = [
    'Токен из нашей формы' => $session['csrf'],
    'Другая строка' => 'wrong-token',
    'Массив вместо строки' => ['wrong-token'],
];

foreach ($attempts as $label => $sent) {
    echo $label, ': ', csrfAccepted($sent, $session['csrf'])
        ? "действие разрешено\n"
        : "действие отклонено\n";
}

Токен из нашей формы: действие разрешено
Другая строка: действие отклонено
Массив вместо строки: действие отклонено

Полная связь с HTML-формой разобрана в главе о формах. Настройки cookie и блокировки — в полном справочнике сессий.

Рабочий кабинет: от формы входа до выхода

Получится маленький кабинет Анны: форма принимает имя и пароль, неверный ввод оставляет понятную ошибку, успешный показывает заказ №42. Кнопка выхода убирает текущий вход. Архив содержит все файлы; ничего из прежних глав копировать не требуется.

Сначала разберите файлы по порядку ниже. В форме name="username" становится ключом $_POST['username']; password и csrf работают так же. Поле type=password скрывает символы на экране, но не шифрует сеть. Hidden тоже присылает клиент: сервер сравнивает его со своим токеном. Наличие required помогает интерфейсу; сервер всё равно отвергает массив вместо строки, слишком длинный ввод и неверный токен.

В контроллере if выбирает ветку; !== проверяет точное несовпадение; || означает «или», && — «и». ['auth'] — ключ вложенного массива. ['id' => 7] связывает имя с числом. Вызовы h, page, go, validToken, currentUser определены в bootstrap ниже; это наши функции, не дополнительные расширения PHP.

<?php
declare(strict_types=1);
if (PHP_SAPI !== 'cli') { exit('Запустите из терминала.'); }
$path = __DIR__ . '/private';
if (!is_dir($path . '/sessions') && !mkdir($path . '/sessions', 0700, true)) { throw new RuntimeException('Не создан каталог сессий'); }
$users = ['anna' => ['id' => 7, 'name' => 'Анна', 'hash' => password_hash('Локальный кабинет 2026!', PASSWORD_BCRYPT)]];
$bytes = json_encode($users, JSON_UNESCAPED_UNICODE | JSON_PRETTY_PRINT | JSON_THROW_ON_ERROR);
if (file_put_contents($path . '/users.json', $bytes, LOCK_EX) !== strlen($bytes)) { throw new RuntimeException('Учётная запись не сохранена'); }
echo "Создан учебный аккаунт anna. Пароль хранится в виде хеша.\n";

setup.php выполняется в терминале. json_encode формирует запись аккаунта, file_put_contents сохраняет её; сравнение числа записанных байтов обнаруживает неполную запись. Лаборатория явно выбирает PASSWORD_BCRYPT, поэтому обработчик до хеширования отклоняет пароль длиннее 72 байтов и не обрезает его молча. В PHP 8.4 стандартный cost bcrypt вырос с 10 до 12; рабочее приложение измеряет свою задержку. Соль не выбирается вручную. В проекте один фиксированный учебный аккаунт; последовательная регистрация, смена и восстановление разобраны ниже в password-reference.

<?php
declare(strict_types=1);
// This project is deliberately limited to the local PHP teaching server.
if (PHP_SAPI !== 'cli-server' || ($_SERVER['REMOTE_ADDR'] ?? '') !== '127.0.0.1') {
    http_response_code(503); exit('Этот учебный проект работает только на 127.0.0.1.');
}
$private = __DIR__;
if (!is_dir($private . '/sessions') || !is_file($private . '/users.json')) {
    http_response_code(503); exit('Сначала выполните php setup.php в папке проекта.');
}
ini_set('session.use_strict_mode', '1');
ini_set('session.use_only_cookies', '1');
ini_set('session.use_trans_sid', '0');
session_name('ManualLogin');
session_save_path($private . '/sessions');
session_set_cookie_params([
    'lifetime' => 0, 'path' => '/', 'domain' => '',
    'secure' => false, // Only this loopback HTTP lab; HTTPS deployment requires true.
    'httponly' => true, 'samesite' => 'Lax',
]);
if (!session_start()) { http_response_code(503); exit('Вход временно недоступен.'); }
header('Content-Type: text/html; charset=UTF-8');
header('Cache-Control: no-store');
header("Content-Security-Policy: default-src 'none'; form-action 'self'; frame-ancestors 'none'; base-uri 'none'");
header('X-Content-Type-Options: nosniff');
// Only the local CLI helper can set the teaching clock; no request field does so.
$clockFile = $private . '/clock.txt';
$now = is_file($clockFile) ? (int) file_get_contents($clockFile) : time();
if (!isset($_SESSION['csrf'])) { $_SESSION['csrf'] = bin2hex(random_bytes(32)); }
function h(string $text): string { return htmlspecialchars($text, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8'); }
function page(string $title, string $body): never {
    session_write_close();
    echo '<!doctype html><html lang="ru"><head><meta charset="UTF-8"><meta name="viewport" content="width=device-width,initial-scale=1"><title>', h($title), '</title></head><body><main><h1>', h($title), '</h1>', $body, '</main></body></html>';
    exit;
}
function go(string $path): never {
    session_write_close(); header('Location: ' . $path, true, 303); exit;
}
function validToken(mixed $sent): bool {
    return is_string($sent) && hash_equals($_SESSION['csrf'], $sent);
}
function currentUser(int $now): ?array {
    $auth = $_SESSION['auth'] ?? null;
    if (!is_array($auth)) { return null; }
    if ($now - $auth['last_seen'] >= 30 || $now - $auth['created'] >= 120) {
        unset($_SESSION['auth']); $_SESSION['expired'] = true; return null;
    }
    $_SESSION['auth']['last_seen'] = $now;
    return $auth;
}

bootstrap настраивает session до любого echo. Имя cookie ManualLogin одинаково для всех посетителей. Данные лежат вне public. На локальном HTTP Secure=false; для настоящего HTTPS нужно Secure=true, сам стенд намеренно отказывается обслуживать другие SAPI/адреса. HttpOnly запрещает чтение cookie JavaScript, SameSite=Lax ограничивает ряд межсайтовых передач; оба не заменяют CSRF и безопасный HTML-вывод.

<?php
declare(strict_types=1);
require dirname(__DIR__) . '/private/bootstrap.php';
if (currentUser($now) !== null) { go('/account.php'); }
$message = !empty($_SESSION['expired']) ? 'Срок входа истёк. Войдите снова.' : '';
unset($_SESSION['expired']);
$username = '';
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!validToken($_POST['csrf'] ?? null)) {
        http_response_code(403); page('Форма устарела', '<p>Откройте форму входа заново.</p><a href="/login.php">Войти</a>');
    }
    $name = $_POST['username'] ?? null;
    $password = $_POST['password'] ?? null;
    // This fixture deliberately uses bcrypt, so its documented 72-byte limit applies.
    if (!is_string($name) || !is_string($password) || strlen($name) > 40 || strlen($password) > 72 || str_contains($password, "\0")) {
        http_response_code(400); $message = 'Поля входа должны быть строками допустимой длины.';
    } else {
        $username = trim($name); // The password is deliberately not trimmed or escaped.
        $users = json_decode(file_get_contents(dirname(__DIR__) . '/private/users.json'), true, 512, JSON_THROW_ON_ERROR);
        $user = $users[$username] ?? null;
        // A stored dummy hash has the same cost; no hash is generated on a failed attempt.
        $hash = $user['hash'] ?? $users['anna']['hash'];
        $matches = password_verify($password, $hash);
        if (!$matches || $user === null) {
            http_response_code(401); $message = 'Неверное имя или пароль.';
        } else {
            // The old guest record receives no authentication data.
            $_SESSION['retired_at'] = $now;
            if (!session_regenerate_id(false)) { http_response_code(503); page('Вход недоступен', '<p>Повторите попытку позже.</p>'); }
            unset($_SESSION['retired_at']);
            $_SESSION['csrf'] = bin2hex(random_bytes(32));
            $_SESSION['auth'] = ['id' => $user['id'], 'name' => $user['name'], 'created' => $now, 'last_seen' => $now];
            go('/account.php');
        }
    }
}
$body = '<p>Учебный аккаунт: anna. Пароль: Локальный кабинет 2026!</p>';
if ($message !== '') { $body .= '<p role="alert">' . h($message) . '</p>'; }
$body .= '<form method="post" action="/login.php"><input type="hidden" name="csrf" value="' . h($_SESSION['csrf']) . '">'
    . '<p><label>Имя <input name="username" autocomplete="username" maxlength="40" required value="' . h($username) . '"></label></p>'
    . '<p><label>Пароль <input type="password" name="password" autocomplete="current-password" required></label></p>'
    . '<button type="submit">Войти</button></form>';
page('Вход в учебный кабинет', $body);

Форма: Вход в учебный кабинет
Неверный пароль: Неверное имя или пароль.
Правильный пароль: Здравствуйте, Анна!
Заказ №42: готов к выдаче.
Старый гостевой ID: личный кабинет недоступен.
Выход: Вы вышли
Повторный доступ: форма входа.
30 секунд бездействия: Срок входа истёк. Войдите снова.
120 секунд общего срока: Срок входа истёк. Войдите снова.
Поддельный CSRF: Выход не выполнен
Массив вместо пароля: Поля входа должны быть строками допустимой длины.
Cookie: ManualLogin; Path=/; HttpOnly; SameSite=Lax; ID сменён при входе.

Проверка пароля выполняется даже для неизвестного имени по заранее сохранённому dummy-хешу той же политики; это не обещание одинакового времени всего HTTP-запроса. После успеха регенерация идёт до назначения auth. Старый ID был гостем и не получает права; потеря новой cookie требует повторить вход. Повторная ротация уже авторизованных параллельных запросов требует другой политики timestamps/переходного периода, разобранной в полном session-reference.

<?php
declare(strict_types=1);
require dirname(__DIR__) . '/private/bootstrap.php';
$user = currentUser($now);
if ($user === null) { go('/login.php'); }
page('Личный кабинет', '<p>Здравствуйте, ' . h($user['name']) . '!</p>'
    . '<p>Заказ №42: готов к выдаче.</p>'
    . '<form method="post" action="/logout.php"><input type="hidden" name="csrf" value="' . h($_SESSION['csrf']) . '"><button type="submit">Выйти</button></form>');

account.php не доверяет факту перехода с login.php. Каждый запрос заново вызывает currentUser. Имя берётся из закрытой серверной записи. Для приложения с разными заказами дополнительно проверяется владелец каждой записи по текущему ID; один корректный номер заказа не является разрешением его читать.

<?php
declare(strict_types=1);
require dirname(__DIR__) . '/private/bootstrap.php';
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    header('Allow: POST'); http_response_code(405); page('Нужна кнопка выхода', '<a href="/account.php">Личный кабинет</a>');
}
if (!validToken($_POST['csrf'] ?? null)) {
    http_response_code(403); page('Выход не выполнен', '<p>Откройте личный кабинет и нажмите кнопку выхода.</p>');
}
$policy = session_get_cookie_params();
$_SESSION = [];
if (!session_destroy()) { http_response_code(503); exit('Не удалось завершить сессию.'); }
setcookie(session_name(), '', [
    'expires' => 1, 'path' => $policy['path'], 'domain' => $policy['domain'],
    'secure' => $policy['secure'], 'httponly' => $policy['httponly'], 'samesite' => $policy['samesite'],
]);
echo '<!doctype html><html lang="ru"><meta name="viewport" content="width=device-width,initial-scale=1"><title>Выход</title><h1>Вы вышли</h1><p>Личный кабинет теперь требует нового входа.</p><a href="/login.php">Войти снова</a></html>';

В выходе три разных действия: очистить $_SESSION в текущем запросе, удалить запись через session_destroy, истечь cookie с тем же path/domain. Ответ с удалением cookie не удаляет копии, ранее похищенные с других устройств, и не отзывает всю учётную запись. Для выхода везде нужна серверная модель сессий/версии и проверка отзыва на каждом защищённом запросе.

Истечение, поддельные поля и наблюдаемые отказы

У проекта два срока: 30секунд бездействия и 120секунд с момента входа. Это короткие учебные значения. Удаление старых файлов сборщиком мусора не определяет, разрешён ли доступ прямо сейчас.

<?php
declare(strict_types=1);
if (PHP_SAPI !== 'cli') { exit('Только терминал.'); }
$value = $argv[1] ?? '';
if (!ctype_digit($value)) { exit("Укажите учебные секунды: php clock.php 1000\n"); }
if (file_put_contents(__DIR__ . '/private/clock.txt', $value) === false) { throw new RuntimeException('Часы не установлены'); }
echo 'Учебное время: ', $value, "\n";

Часы читает только закрытый серверный файл. Ни поле формы, ни query-параметр не меняют время. Без clock.txt используется time(). Инструмент нужен для проверки сроков без ожиданий; это часть локальной лаборатории, не публичный endpoint.

Отдельный архив ниже намеренно запускается без setup.php. Bootstrap останавливает вход до создания сессии, поэтому отсутствие учётного хранилища не превращается в успешную авторизацию.

<?php
declare(strict_types=1);
require dirname(__DIR__) . '/private/bootstrap.php';
if (currentUser($now) !== null) { go('/account.php'); }
$message = !empty($_SESSION['expired']) ? 'Срок входа истёк. Войдите снова.' : '';
unset($_SESSION['expired']);
$username = '';
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!validToken($_POST['csrf'] ?? null)) {
        http_response_code(403); page('Форма устарела', '<p>Откройте форму входа заново.</p><a href="/login.php">Войти</a>');
    }
    $name = $_POST['username'] ?? null;
    $password = $_POST['password'] ?? null;
    // This fixture deliberately uses bcrypt, so its documented 72-byte limit applies.
    if (!is_string($name) || !is_string($password) || strlen($name) > 40 || strlen($password) > 72 || str_contains($password, "\0")) {
        http_response_code(400); $message = 'Поля входа должны быть строками допустимой длины.';
    } else {
        $username = trim($name); // The password is deliberately not trimmed or escaped.
        $users = json_decode(file_get_contents(dirname(__DIR__) . '/private/users.json'), true, 512, JSON_THROW_ON_ERROR);
        $user = $users[$username] ?? null;
        // A stored dummy hash has the same cost; no hash is generated on a failed attempt.
        $hash = $user['hash'] ?? $users['anna']['hash'];
        $matches = password_verify($password, $hash);
        if (!$matches || $user === null) {
            http_response_code(401); $message = 'Неверное имя или пароль.';
        } else {
            // The old guest record receives no authentication data.
            $_SESSION['retired_at'] = $now;
            if (!session_regenerate_id(false)) { http_response_code(503); page('Вход недоступен', '<p>Повторите попытку позже.</p>'); }
            unset($_SESSION['retired_at']);
            $_SESSION['csrf'] = bin2hex(random_bytes(32));
            $_SESSION['auth'] = ['id' => $user['id'], 'name' => $user['name'], 'created' => $now, 'last_seen' => $now];
            go('/account.php');
        }
    }
}
$body = '<p>Учебный аккаунт: anna. Пароль: Локальный кабинет 2026!</p>';
if ($message !== '') { $body .= '<p role="alert">' . h($message) . '</p>'; }
$body .= '<form method="post" action="/login.php"><input type="hidden" name="csrf" value="' . h($_SESSION['csrf']) . '">'
    . '<p><label>Имя <input name="username" autocomplete="username" maxlength="40" required value="' . h($username) . '"></label></p>'
    . '<p><label>Пароль <input type="password" name="password" autocomplete="current-password" required></label></p>'
    . '<button type="submit">Войти</button></form>';
page('Вход в учебный кабинет', $body);

HTTP503: Сначала выполните php setup.php в папке проекта.

Cookie содержит идентификатор, сервер хранит состояние

HTTP сам по себе не помнит посетителя. При cookie-сессии браузер передаёт идентификатор, а PHP загружает соответствующие данные из серверного хранилища. Обычно в сессии достаточно user_id, CSRF-токена и краткого flash-сообщения. Цены, права и состояние заказа лучше читать из актуального источника: пользователь мог потерять роль или товар подорожал после входа.

Идентификатор сессии обладает силой временного ключа доступа. HTTPS, Secure, HttpOnly и подходящий SameSite уменьшают способы его утечки. HttpOnly не мешает XSS выполнять действия от имени пользователя, поэтому защита вывода остаётся необходимой. Cookie-параметры задают до session_start. Не передавайте ID в URL и не выводите его в журнал.

Включённый session.use_strict_mode заставляет штатный обработчик отвергать неинициализированные идентификаторы. При успешном входе и изменении уровня привилегий идентификатор меняют, чтобы ранее известный ID не получил новые права. Немедленное удаление старой сессии при параллельных запросах может давать потерю состояния; для сложного приложения нужна продуманная миграция и краткий переходный период. Учебный последовательный пример показывает минимальную схему.

Проверить этот механизм в полном кабинете с настоящими HTTP-запросами.

Успешный пароль ещё не заканчивает вход

Проверка пароля и запись сессии должны сопровождаться политикой активности аккаунта. Заблокированный сотрудник не получает доступ только потому, что знает старый пароль. На чувствительных действиях проверяют текущие права, а не только роль, сохранённую полгода назад. Ограничение попыток учитывает аккаунт и источники запросов, но не должно позволять злоумышленнику навсегда заблокировать чужой вход.

Выход — изменение состояния, поэтому это POST с CSRF. Очистите данные сессии, удалите cookie с теми же path/domain и завершите серверную сессию. session_destroy не удаляет автоматически cookie браузера и не очищает текущий массив $_SESSION. Для выхода со всех устройств нужна отдельная серверная модель активных сессий или версия авторизации, сверяемая при запросе.

Проверить этот механизм в полном кабинете с настоящими HTTP-запросами.

Почему соседний AJAX ждёт и куда поставить session_write_close

Стандартное файловое хранилище блокирует запись сессии между session_start и её закрытием. Если обработчик десять секунд ждёт API, второй запрос того же браузера может ждать ту же блокировку. Отмена fetch в браузере не гарантирует остановку серверного скрипта. Поэтому прочитайте нужный user_id, сохраните изменения и вызовите session_write_close до медленной работы. Поведение других обработчиков зависит от их механизма блокировок.

После закрытия $_SESSION остаётся доступным в памяти, но присваивания в него уже не сохраняются автоматически. Если затем открыть сессию повторно, данные могли измениться другим запросом: нельзя бездумно перезаписать их старой копией. Длительный расчёт лучше хранить в задании базы/очереди, а сессию использовать лишь для определения пользователя. Для чтения есть read_and_close, но учитывайте особенности обновления времени хранения конкретным обработчиком.

Сессия не является универсальной блокировкой заказа. Два разных пользователя могут купить последний экземпляр; их сессии независимы. Такие гонки решают ограничениями и атомарными операциями базы. В то же время увеличение числа PHP-FPM процессов не устранит последовательное ожидание одной файловой сессии.

Сроки жизни и эксплуатация

Срок cookie, время простоя, максимальная длительность входа и удаление серверного файла — разные механизмы. Не полагайтесь исключительно на случайную уборку gc: приложение должно явно проверять собственные last_seen_at и authenticated_at. Перед обновлением last_seen_at сначала вычислите, не истёк ли допустимый интервал. Для банковских и административных операций нужна более строгая политика повторного подтверждения, чем для корзины.

При нескольких серверах общее хранилище сессий или осознанная привязка к узлу обязательны. Локальный файл на первом сервере не появится на втором. Потеря Redis/файлового хранилища должна приводить к контролируемой ошибке входа, а не к созданию псевдоавторизованного состояния. Проверяйте параллельные вкладки, повторный вход, выход, истечение времени и смену прав отдельными сценариями.

Корзина, привилегии и конкурентные вкладки

Корзина в сессии удобна для небольшого сайта, но хранить там окончательную цену заказа нельзя. При оформлении перечитайте цены, доступность и допустимые скидки. Если пользователь вошёл с другого устройства, синхронизация корзины уже требует серверной модели с версией и понятными правилами объединения. Сессия описывает текущий вход, а не автоматически все данные клиента.

При смене пароля или блокировке аккаунта заранее решите, что происходит с остальными активными сессиями. Можно хранить версию авторизации в аккаунте и сравнивать её с версией входа либо вести таблицу сессий с отзывом. Истечение browser-cookie не гарантирует немедленное уничтожение серверного файла, а наличие файла не означает действующие полномочия.

Отдельно проверяйте вход в двух вкладках, logout во время долгого запроса и повторный запуск после смены ID. Код, который безусловно записывает старый user_id после внешнего API, может восстановить уже завершённое состояние. Такие сценарии хорошо показывают, почему долгую бизнес-операцию и жизненный цикл сессии стоит разделять.

Практика: проверьте решение, а не только успешный путь

Отчёт читает user_id, вызывает API 8 секунд и в конце пишет flash. Как убрать блокировку, не потеряв flash?