Wenn der erste Session Namensraum angefragt wird, startet Zend_Session automatisch die PHP Session, ausser er wurde bereits mit Zend_Session::start() gestartet. Die darunterliegende PHP Session verwendet die Standards von Zend_Session, ausser wenn Sie schon durch Zend_Session::setOptions() modifiziert wurde.

Um eine Konfigurations Option einer Session zu setzen, muß der Basisname (der Teil des Namens nach "session.") als Schlüssel eines Array inkludiert und an Zend_Session::setOptions() übergeben werden. Der korrespondierende Wert im Array wird verwendet um den Wert der Option dieser Session zu setzen. Wenn keine Option durch den Entwickler gesetzt wird, wird Zend_Session zuerst die benötigten Optionen anwenden und anschließend die standard php.ini Einstellungen. Feedback der Community über die beste Handhabung für diese Optionen sollte gesendet werden an fw-auth@lists.zend.com.

; Accept defaults for production
[production]
; bug_compat_42
; bug_compat_warn
; cache_expire
; cache_limiter
; cookie_domain
; cookie_lifetime
; cookie_path
; cookie_secure
; entropy_file
; entropy_length
; gc_divisor
; gc_maxlifetime
; gc_probability
; hash_bits_per_character
; hash_function
; name sollte für jede PHP Anwendung eindeutig sein und den
; selben Domain Namen verwenden
name = UNIQUE_NAME
; referer_check
; save_handler
; save_path
; serialize_handler
; use_cookies
; use_only_cookies
; use_trans_sid

; remember_me_seconds = <integer seconds>
; strict = on|off

; Entwicklung beinhaltet Konfiguration der Produktion,
; überschreibt aber diverse Werte
[development : production]
; Nicht vergessen, dieses Verzeichnis zu erstellen und es
; rwx machen (lesbar und änderbar) durch PHP.
save_path = /home/myaccount/zend_sessions/myapp
use_only_cookies = on
; Beim Analysieren von Session ID Cookies, frage nach einer TTL von 10 Tagen
remember_me_seconds = 864000

$config = new Zend_Config_Ini('myapp.ini', 'development');

require_once 'Zend/Session.php';
Zend_Session::setOptions($config->toArray());

Die meisten der oben gezeigten Optionen benötigen keine Erklärung die nicht in der Standard PHP Dokumentation gefunden werden kann, aber jene von speziellem Interesse sind anbei beschrieben.

Wenn die Fehler Nachricht, "Cannot modify header information - headers already sent", oder "You must call .. before any output has been sent to the browser; output started in ..." erscheint, sollte der direkte Grund (Funktion oder Methode) der mit dieser Nachricht gekoppelt ist sorgfältig begutachtet werden. Jede Aktion die das senden von HTTP Headern benötigt, wie z.B. das modifizieren von Browser Cookies, muß vor dem Senden von normaler Ausgabe (ungepufferter Ausgabe) durchgeführt werden, ausser wenn PHP's Ausgabebuffer verwendet wird.

Einführung: Die beste Praxis in Relation für die Benutzung von Session innerhlab des ZF fordert die Verwendung eines Browser Cookies (z.B. ein normales Cookie welchem im Web Browser gespeichert wird), statt der integration von eindeutigen Session Identifizierern in URLs als Mittel für das verfolgen von individuellen Benutzern. Normalerweise verwendet diese Komponente nur Cookie für die Handhabung von Session Identifizierern. Der Wert des Cookies ist der eindeutige Identifizierer in der Session des Browsers. PHP's ext/session verwendet diesen Identifizierer um eine eindeutige eins-zu-eins Verbindung zwischen dem Besucher der Webseite und dem dauerhaften Session Daten Speicher herzustellen. Zend_Session* umhüllt diesen Speichermechanismus ($_SESSION) mit einem objektorientierten Interface. Leider, wenn ein Angreifer Zugriff auf der Wert des Cookies (die Session Id) erhält, kann er die Session des Besuchers übernehmen. Dieses Problem gilt nicht nur für PHP oder den Zend Framework. Die regenerateId() Methode erlaubt einer Anwendung die Session Id (die im Cookie des Besuchers gespeichert ist) in einen neuen, zufälligen, unvorhersagbaren Wert zu ändern. Achtung: Auch wenn nicht das gleiche gemeint ist, um diese Sektion einfacher lesbar zu machen, verwenden wir die Ausdrücke "User Agent" und "Webbrowser" synonym füreinander.

Warum?: Wenn ein Angreifer einen gültigen Session Identifizierer erhält, kann ein Angreifer einen gültigen Benutzer (das Opfer) verkörpern, und anschließend Zugriff auf vertrauliche Intormationen oder andererseits die Daten des Opfers verändern welche von der Anwendung verwaltet werden. Das Ändern des Session Id's hilft sich gegen die Übernahme der Session zu Schützen. Wenn die Session Id geändert wird, und ein Angreifer den neuen Wert nicht weiß, kann der Angreifer die neue Session Id nicht für Ihren Zweck, dem Versuch der Übernahme der Session des Opfers, verwenden. Selbst wenn der Angreifer zugriff auf die alte Session Id erhält, verschiebt regenerateId() die Daten der Session vom alten Session Id "Handle" zum neuen, weswegen keine Daten über die alte Session Id abrufbar sind.

Wann sollte regenerateId() verwendet werden: Das Hinzufügen von Zend_Session::regenerateId() in die Bootstrap Datei des Zend Frameworks bietet einen der sichersten und am besten geschützten Wege um die Session Id's in den Cookies der User Agenten zu erneuern. Wenn es keine bedingte Logik gibt, um herauszufinden wann die Session Id erneuert werden soll, dann gibt es keinen Mangel in dieser Logik. Auch wenn der Erneuern bei jeder Anfrage einen möglichen Weg der Attacke verhindert, will nicht jedermann die damit hervorgerufenen kleinen Einbußen in der Geschwindigkeit und der Bandbreite hinnhmen. Deswegen versuchen Anwendungen normalerweise Situationen von größerem Risiko zu erahnen, und nur in diesen Situationen die Session Id's zu erneuern. Immer wenn die Rechte einer Session vom Besucher der Webseite "ausgeweitet" werden (z.B. ein Besucher muß noch einmal seine Identität authentifizieren bevor sein "Profil" bearbeitet werden darf), oder wann auch immer ein sicherheits-"sensitiver" Session Parameter geändert wird, sollte daran gedacht werden regenerateId() zu verwenden um eine neue Session Id zu erstellen. Wenn die rememberMe() Funktion aufgerufen wird, sollte regenerateId() nicht verwendet werden, ausser der erstere ruft den letzteren auf. Wenn sich ein Benutzer erfolgreich auf die Webseite eingeloggt hat, sollte rememberMe() statt regenerateId() verwendet werden.

$defaultNamespace = new Zend_Session_Namespace();

if (!isset($defaultNamespace->initialized)) {
    Zend_Session::regenerateId();
    $defaultNamespace->initialized = true;
}

Normalerweise enden Sessions wenn der User Agent terminiert, wie wenn der End-Benutzer seinen WebBrowser schließt. Trotzdem kann die Anwendung die Möglichkeit bieten, eine Benutzer Session über die Lebensdauer des Client Programms hinweg zu verlängern durch die Verwendung von persistenten Cookies. Zend_Session::rememberMe() kann vor dem Start der Session verwendet werden um die Zeitdauer zu kontrollieren bevor ein persistentes Session Cookie abläuft. Wenn keine Anzahl an Sekunden definiert wird, verwendet das Session Cookie standardmäßig eine Lebenszeit von remember_me_seconds, welche durch Verwendung von Zend_Session::setOptions() gesetzt werden kann. Um zu helfen eine Session Fixierung/Entführung zu vereiteln, sollte diese Funktion verwendet werden wenn sich ein Benutzer erfolgreich an der Anwendung authentifiziert hat (z.B., durch ein "login" Formular).

Diese Funktion ist das Gegenteil von rememberMe() durch Schreiben eines Session Cookies das eine Lebenszeit hat die endet wenn der Benutzer terminiert.

Diese Methode kann verwendet werden um Herauszufinden ob eine Session für den aktuellen User Agent/Anfrage bereits existiert. Das kann vor dem Starten einer Session verwendet werden, und ist unabhängig von allen anderen Zend_Session und Zend_Session_Namespace Methoden.

Zend_Session::destroy() entfernt alle deuerhaften Daten welche mit der aktuellen Session verbunden sind. Aber es werden keine Variablen in PHP verändert, so das die benannte Session (Instanzen von Zend_Session_Namespace) lesbar bleibt. Es ein "Logout" fertigzustellen, muß der optionale Parameter auf TRUE (standard) gesetzt werden um auch das Session Id Cookie des User Agents zu löschen. Der optionale $readonly Parameter entfernt die Möglichkeit neue Zend_Session_Namespace Instanzen zu erstellen und für Zend_Session in den Session Daten Speicher zu schreiben.

Wenn die Fehlermeldung "Cannot modify header information - headers already sent" erscheint, sollte entweder die Verwendung von TRUE als Wert für das erste Argument (die Entfernung des Session Cookies anfragen) vermieden werden, oder in diesem Abschnitt nachgesehen werden. Deswegen muß entweder Zend_Session::destroy(true) aufgerufen werden bevor PHP HTTP Header gesendet hat, oder die Pufferung der Ausgabe muß aktiviert sein. Auch die komplette Ausgabe die gesendet werden soll, darf die gesetzte Puffergröße nicht überschreiten, um das Senden der Ausgabe vor dem Aufruf von destroy() zu Verhindern.

Diese Methode macht nicht mehr als ein Flag in Zend_Session zu wechseln um weiteres Schreiben in den Session Daten Speicher zu verhindern. Wir erwarten spezielles Feedback für dieses Feature. Potentielle Nicht-/Verwendung könnte temporär bei Verwendung von Zend_Session_Namespace Instanzen oder Zend_Session Methoden verhindern das auf den Session Daten Speicher geschrieben wird, während deren Ausführung zum Code der View transferiert wird. Versuche Aktionen auszuführen welche das Schreiben über diese Instanzen oder Methoden inkludieren werden eine Ausnahme werfen.

Beendet die Session, schließt das schreiben und entfernt $_SESSION vom Backend Speicher Mechanismus. Das vervollständigt die interne Transformation der Daten auf diese Anfrage. Der optionale boolsche $readonly Parameter kann den Schreibzugriff entfernen durch das werfen einer Ausnahme bei jedem Versuch in eine Session durch Zend_Session oder Zend_Session_Namespace zu schreiben.

Diese Methode sendet ein abgelaufenes Session Id Cookie, was den Client dazu bringt den Session Cookie zu löschen. Manchmal wird diese Technik dazu verwendet einen Logout auf der Seite des Client auszuführen.

Die meisten Entwickler werden den Standardmäßigen Speicher Handle ausreichend finden. Diese Methode bietet einen objekt-orientierten Wrapper für session_set_save_handler().

Diese Methode kann dazu verwendet werden um herauszufinden ob ein Session Namensraum existiert, oder ob ein bestimmter Index in einem bestimmten Namensraum existiert.

Zend_Session::namespaceUnset($namespace) kann verwendet werden um effektiv den kompletten Namensraum und dessen Inhalt zu entfernen. Wie mit allen Arrays in PHP, wenn eine Variable die ein Array enthält entfernt wird, und das Array andere Objekte enthält, werden diese verfügbar bleiben, wenn diese durch Referenz in anderen Array/Objekten gespeichert sind, die durch anderen Variablen erreichbar bleiben. namespaceUnset() führt kein "tiefes" entfernen/löschen von Inhalten eines Eintrages im Namensraum durch. Für eine detailiertere Erklärung sollte im PHP Handbuch unter Referenzen erklärt nachgesehen werden.

DEPRECATED: getIterator() in Zend_Session_Namespace sollte verwendet werden. Diese Methode gibt ein Array mit dem Inhalt von $namespace zurück. Wenn es logische Gründe gibt diese Methode öffentlich aufrufbar zu lassen bitte ein Feedback auf die fw-auth@lists.zend.com Mailingliste geben. Aktuell ist jede Anteilnahme an irgendeinem relevanten Thema sehr willkommen :)

getIterator() kann verwendet werden, um ein Array zu erhalten, das die Namen aller Namensräume enthält.