5  Cookie e sessioni

5.1 Perché servono cookie e sessioni

Il protocollo HTTP è stateless, cioè non conserva memoria delle richieste precedenti. Ogni volta che un utente visita una pagina, la richiesta viene elaborata dal server come indipendente dalle precedenti.

Per questo motivo, quando è necessario conservare alcune informazioni durante la navigazione, si utilizzano principalmente i cookie e le sessioni.

Alcuni esempi di utilizzo sono:

• mantenere un utente autenticato dopo aver effettuato correttamente il login;

• ricordare la lingua scelta dall’utente;

• conservare i prodotti inseriti nel carrello di un sito di e-commerce.

5.2 I cookie

Un cookie è un piccolo insieme di informazioni che viene memorizzato sul computer dell’utente dal browser.

I cookie sono particolarmente utili per conservare informazioni semplici e non sensibili, ad esempio:

• un nome utente;

• una preferenza dell’utente;

• la lingua scelta;

• un valore vero/falso.

I dati contenuti nei cookie vengono salvati come stringhe e possono essere letti, modificati oppure eliminati dall’utente attraverso le impostazioni del proprio browser.

AvvisoAttenzione

I cookie vengono memorizzati sul computer dell’utente e possono essere modificati o eliminati dall’utente stesso. Per questo motivo non devono essere utilizzati per conservare password o altri dati sensibili.

Creazione di un Cookie

In PHP per creare un cookie si utilizza la funzione setcookie().

La funzione deve essere utilizzata prima di qualsiasi output, cioè prima di inviare al browser codice HTML o utilizzare funzioni come echo() e print().

Nelle versioni moderne di PHP è consigliabile usare la forma con l’array delle opzioni. Le opzioni principali sono:

• il nome del cookie;

• il valore del cookie;

• la data di scadenza;

• il percorso per il quale il cookie è valido;

• secure, che limita l’invio alle connessioni HTTPS;

• httponly, che impedisce l’accesso al cookie da JavaScript;

• samesite, che limita l’invio del cookie nelle richieste provenienti da altri siti.

Un esempio di creazione di un cookie è il seguente:

<?php
    
$nomeCookie = "preferenza";
$valoreCookie = "tema_scuro";
$connessioneSicura = isset($_SERVER["HTTPS"])
    && $_SERVER["HTTPS"] !== "off";

setcookie($nomeCookie, $valoreCookie, [
    "expires" => time() + 86400, // un giorno
    "path" => "/",
    "secure" => $connessioneSicura,
    "httponly" => true,
    "samesite" => "Lax"
]);
    
    ?>

In questo esempio:

• $nomeCookie contiene il nome del cookie;

• $valoreCookie contiene il valore da memorizzare;

• time() + 86400 stabilisce una durata di un giorno, cioè 24 ore;

• path impostato a / rende il cookie valido in tutto il sito;

• secure, httponly e samesite migliorano la protezione del cookie.

È possibile anche creare un cookie utilizzando solamente i due parametri obbligatori:

<?php
    
    setcookie("test_cookie", "Sono un cookie!");
    
    ?>

In questo caso il cookie è un cookie di sessione e scade normalmente alla chiusura del browser. Il nuovo valore sarà disponibile in $_COOKIE a partire dalla richiesta successiva, non immediatamente nella stessa esecuzione di setcookie().

Lettura di un Cookie

Una volta creato un cookie, il suo valore può essere letto attraverso l’array superglobale $_COOKIE.

Per verificare se un determinato cookie esiste si può utilizzare la funzione isset().

<?php
    
$nomeCookie = "preferenza";

if (isset($_COOKIE[$nomeCookie])) {
    $valore = htmlspecialchars(
        $_COOKIE[$nomeCookie],
        ENT_QUOTES | ENT_SUBSTITUTE,
        "UTF-8"
    );
    echo "Il cookie vale: " . $valore;
} else {
    echo "Il cookie non è stato impostato";
}
    
    ?>

Modifica di un Cookie

Per modificare un cookie è sufficiente utilizzare nuovamente la funzione setcookie() con lo stesso nome e assegnare un nuovo valore.

<?php
    
$nomeCookie = "preferenza";

setcookie($nomeCookie, "tema_chiaro", [
    "expires" => time() + 86400,
    "path" => "/",
    "httponly" => true,
    "samesite" => "Lax"
]);
    
    ?>

Eliminazione di un Cookie

Per eliminare un cookie è possibile impostare una data di scadenza nel passato.

<?php
    
$nomeCookie = "preferenza";

setcookie($nomeCookie, "", [
    "expires" => time() - 3600,
    "path" => "/",
    "httponly" => true,
    "samesite" => "Lax"
]);
    
    ?>

Per eliminare correttamente un cookie bisogna usare lo stesso nome, percorso e dominio usati durante la creazione.

5.3 Le sessioni

Le sessioni permettono di conservare informazioni durante la navigazione dell’utente, ma a differenza dei cookie i dati vengono memorizzati sul server.

Quando viene avviata una sessione, il server associa alla navigazione un identificatore chiamato session ID.

Il session ID viene normalmente memorizzato sul computer dell’utente tramite un cookie chiamato PHPSESSID.

I dati della sessione vengono invece memorizzati sul server e possono essere utilizzati nelle diverse pagine del sito attraverso l’array superglobale $_SESSION.

NotaNota

Nei cookie vengono memorizzati direttamente i dati sul computer dell’utente. Nelle sessioni i dati vengono invece mantenuti sul server; il browser conserva normalmente solamente il session ID che permette di identificare la sessione.

Avvio di una sessione

Per utilizzare le sessioni all’interno di una pagina PHP è necessario utilizzare la funzione session_start().

La funzione non richiede parametri e deve essere chiamata prima di qualsiasi output.

<?php
    
    session_start();
    
    ?>

AvvisoAttenzione

La funzione session_start() deve essere eseguita prima di inviare al browser qualsiasi codice HTML o altro output tramite funzioni come echo() e print().

Salvataggio dei dati nella sessione

Una volta avviata la sessione, è possibile salvare le informazioni all’interno dell’array superglobale $_SESSION.

Ad esempio:

<?php
    
    // Apro la sessione
    session_start();
    
// Recupero i dati inviati dal form.
$username = trim($_POST["user"] ?? "");

if ($username !== "") {
    // Dopo la verifica delle credenziali, rinnovo l'ID
    // per contrastare gli attacchi di session fixation.
    session_regenerate_id(true);

    $_SESSION['username'] = $username;
    $_SESSION['autenticato'] = true;
}
    
    ?>

In questo modo nella sessione vengono memorizzati il nome utente e lo stato di autenticazione. La password non deve essere conservata nella sessione.

Utilizzo dei dati della sessione

I dati salvati nella sessione possono essere recuperati anche da una pagina diversa.

È sufficiente richiamare nuovamente session_start() e accedere agli elementi dell’array $_SESSION.

<?php
    
    // Apro la sessione
    session_start();
    
$username = $_SESSION["username"] ?? null;

if ($username !== null) {
    echo "Ciao " . htmlspecialchars(
        $username,
        ENT_QUOTES | ENT_SUBSTITUTE,
        "UTF-8"
    );
} else {
    echo "Utente non autenticato";
}
    
    ?>

In questo modo le informazioni precedentemente salvate possono essere utilizzate nelle successive pagine del sito.

5.4 Eliminazione dei dati di sessione

PHP mette a disposizione diverse funzioni per eliminare le informazioni memorizzate in una sessione.

Eliminazione di una singola variabile

Per eliminare una specifica variabile di sessione si utilizza la funzione unset().

<?php
    
    unset($_SESSION['username']);
    
    ?>

In questo modo viene eliminata solamente la variabile username.

Eliminazione di tutte le variabili

Per eliminare tutte le variabili contenute nell’array $_SESSION si può utilizzare:

<?php
    
    session_unset();
    
    ?>

È inoltre possibile inizializzare nuovamente l’array della sessione:

<?php
    
    $_SESSION = array();
    
    ?>

Distruzione della sessione

session_destroy() elimina i dati associati alla sessione sul server, ma non svuota automaticamente $_SESSION e non elimina il cookie con il session ID. Per un logout completo si eseguono tutti i passaggi:

<?php
session_start();

$_SESSION = [];

if (ini_get("session.use_cookies")) {
    $parametri = session_get_cookie_params();

    setcookie(session_name(), "", [
        "expires" => time() - 42000,
        "path" => $parametri["path"],
        "domain" => $parametri["domain"],
        "secure" => $parametri["secure"],
        "httponly" => $parametri["httponly"],
        "samesite" => $parametri["samesite"] ?? "Lax"
    ]);
}

session_destroy();
?>

La differenza tra le operazioni è importante:

• session_unset() azzera immediatamente il contenuto dell’array $_SESSION;
• session_destroy() elimina i dati associati alla sessione sul server, ma da solo non modifica le variabili già caricate nello script e non elimina il cookie di sessione.

5.5 Esercizi

1. Creare un cookie contenente il proprio nome e visualizzarlo in una pagina PHP successiva.
2. Creare un cookie contenente la lingua preferita dell’utente e visualizzare un messaggio diverso in base alla lingua scelta.
3. Creare una pagina che permetta di modificare ed eliminare un cookie mantenendo coerenti le opzioni path, httponly e samesite.
4. Creare una sessione nella quale salvare il nome e la classe dello studente, quindi visualizzare tali informazioni in una seconda pagina.
5. Creare un semplice sistema di autenticazione simulato che memorizzi nella sessione il nome dell’utente e un valore booleano, senza salvare la password.
6. Creare una pagina di logout che svuoti $_SESSION, elimini il cookie di sessione e chiami session_destroy().

AvvisoIstruzioni di consegna

Consegnare ogni esercizio in un file PHP diverso e numerato. Inserire tutti i file in una cartella denominata cognome_nome e consegnarla in formato compresso.