禁用 Cookie 时， PHP 会话如何工作？

在禁用Cookie的情况下，PHP仍然可以管理会话，但需要使用不同的机制来传递会话ID。通常，PHP会话依赖于Cookies来存储和传递会话ID，这是一个唯一标识符，用于将服务器上的会话数据与特定的用户关联起来。如果客户端浏览器禁用了Cookie，PHP可以通过URL重写或表单隐藏字段来传递会话ID。

URL重写

URL重写方法涉及将会话ID作为URL的一部分传递。例如，如果会话ID是12345，一个链接可能看起来像这样：

shell
http://www.example.com/index.php?PHPSESSID=12345

在这种方法中，每个需要维持会话的链接都必须包含这个会话ID参数。这种方法的缺点是，会话ID在URL中可见，可能会由于用户的复制和粘贴操作而被不小心泄露。

表单隐藏字段

另一种方法是在每个表单中使用隐藏字段来传递会话ID。例如，您可以在HTML表单中包含以下隐藏字段：

html
<form action="submit.php" method="post">
    <input type="hidden" name="PHPSESSID" value="12345">
    <!-- 其他表单字段 -->
    <input type="submit" value="Submit">
</form>

每次表单提交时，都会发送会话ID，从而维持会话的连续性。这种方法与URL重写类似，但它仅限于表单提交的情况。

启动无Cookie的会话

为了在PHP中启动无Cookie的会话，你可以在脚本开始时使用以下代码：

php
ini_set('session.use_cookies', '0');
ini_set('session.use_only_cookies', '0');
ini_set('session.use_trans_sid', '1');
session_start();

这些设置做了以下几点：

• session.use_cookies设置为0表示不使用基于cookie的会话。
• session.use_only_cookies设置为0表示允许使用其他方法（如URL重写）。
• session.use_trans_sid设置为1允许PHP自动将会话ID嵌入到URL中。

安全考虑

虽然无Cookie会话在特定情况下有其用途，但通常认为这种方法不如基于Cookie的会话安全。会话ID在URL中更容易泄露，因为它可能会被保存在浏览器历史记录、日志文件或其他地方。因此，如果决定使用这种方法，建议采取额外的安全措施，如使用HTTPS来加密通信，防止会话ID被截获。

通过这些方法，即使在客户端禁用Cookie的情况下，PHP也能够有效地管理会话。