Sesiones ******** <div class=perex> HTTP es un protocolo sin estado, pero casi todas las aplicaciones necesitan mantener un estado entre peticiones, por ejemplo, el contenido de un carrito de la compra. Para esto se utiliza una sesión. Veamos - cómo usar las sesiones - cómo evitar conflictos de nombres - cómo fijar la caducidad </div> Cuando se utilizan sesiones, cada usuario recibe un identificador único llamado ID de sesión, que se pasa en una cookie. Esto sirve como clave para los datos de sesión. A diferencia de las cookies, que se almacenan en el navegador, los datos de sesión se almacenan en el servidor. Configuramos la sesión en la [configuración |configuration#session], la elección del tiempo de expiración es importante. La sesión es gestionada por el objeto [api:Nette\Http\Session], que se obtiene pasándolo mediante [inyección de dependencia |dependency-injection:passing-dependencies]. En presentadores simplemente llame a `$session = $this->getSession()`. → [Instalación y requisitos |@home#Installation] Inicio de la sesión .[#toc-starting-session] ============================================ Por defecto, Nette iniciará una sesión automáticamente en el momento en que empecemos a leer de ella o a escribir datos en ella. Para iniciar una sesión manualmente, utilice `$session->start()`. PHP envía cabeceras HTTP que afectan a la caché cuando se inicia la sesión, ver [php:session_cache_limiter], y posiblemente una cookie con el ID de sesión. Por lo tanto, siempre es necesario iniciar la sesión antes de enviar cualquier salida al navegador, de lo contrario se lanzará una excepción. Por lo tanto, si sabe que se va a utilizar una sesión durante la representación de la página, iníciela manualmente antes, por ejemplo en el presentador. En modo desarrollador, Tracy inicia la sesión porque la utiliza para mostrar barras de redirección y peticiones AJAX en la Tracy Bar. Sección .[#toc-section] ======================= En PHP puro, el almacén de datos de sesión se implementa como un array accesible a través de una variable global `$_SESSION`. El problema es que las aplicaciones normalmente consisten en un número de partes independientes, y si todas tienen un mismo array disponible, tarde o temprano ocurrirá una colisión de nombres. Nette Framework resuelve el problema dividiendo todo el espacio en secciones (objetos [api:Nette\Http\SessionSection]). Cada unidad utiliza entonces su propia sección con un nombre único y no pueden producirse colisiones. Obtenemos la sección del gestor de sesiones: ```php $section = $session->getSection('unique name'); ``` En el presentador basta con llamar a `getSession()` con el parámetro: ```php // $this es Presentador $section = $this->getSession('unique name'); ``` La existencia de la sección puede comprobarse mediante el método `$session->hasSection('unique name')`. La sección en sí es muy fácil de trabajar con los métodos `set()`, `get()` y `remove()`: ```php // escritura de variables $section->set('nombreusuario', 'franta'); // lectura de una variable, devuelve null si no existe echo $section->get('nombredeusuario'); // eliminar variable $section->remove('userName'); ``` Es posible utilizar el ciclo `foreach` para obtener todas las variables de la sección: ```php foreach ($section as $key => $val) { echo "$key = $val"; } ``` Cómo fijar la caducidad .[#toc-how-to-set-expiration] ----------------------------------------------------- La caducidad puede establecerse para secciones individuales o incluso variables individuales. Podemos dejar que el login del usuario caduque en 20 minutos, pero seguir recordando el contenido de un carrito de la compra. ```php // la sección caducará a los 20 minutos $section->setExpiration('20 minutes'); ``` El tercer parámetro del método `set()` se utiliza para establecer la caducidad de variables individuales: ```php // la variable 'flash' caduca a los 30 segundos $section->set('flash', $message, '30 seconds'); ``` .[note] Recuerda que el tiempo de expiración de toda la sesión (ver [configuración de la sesión |configuration#session]) debe ser igual o superior al tiempo establecido para secciones o variables individuales. La anulación de la caducidad previamente fijada puede conseguirse mediante el método `removeExpiration()`. La eliminación inmediata de toda la sección se asegurará mediante el método `remove()`. Eventos $onStart, $onBeforeWrite .[#toc-events-onstart-onbeforewrite] --------------------------------------------------------------------- El objeto `Nette\Http\Session` tiene los [eventos |nette:glossary#Events] `$onStart` y `$onBeforeWrite`, por lo que puedes añadir callbacks que sean llamados después de que la sesión se inicie o antes de que se escriba en disco y luego se termine. ```php $session->onBeforeWrite[] = function () { // escribir datos en la sesión $this->section->set('basket', $this->basket); }; ``` Gestión de sesiones .[#toc-session-management] ============================================== Visión general de los métodos de la clase `Nette\Http\Session` para la gestión de sesiones: <div class=wiki-methods-brief> start(): void .[method] ----------------------- Inicia una sesión. isStarted(): bool .[method] --------------------------- ¿Se ha iniciado la sesión? close(): void .[method] ----------------------- Finaliza la sesión. La sesión termina automáticamente al final del script. destroy(): void .[method] ------------------------- Finaliza y borra la sesión. exists(): bool .[method] ------------------------ ¿Contiene la petición HTTP una cookie con un ID de sesión? regenerateId(): void .[method] ------------------------------ Genera un nuevo ID de sesión aleatorio. Los datos permanecen inalterados. getId(): string .[method] ------------------------- Devuelve el ID de sesión. </div> Configuración .[#toc-configuration] ----------------------------------- Configuramos la sesión en [configuración |configuration#session]. Si está escribiendo una aplicación que no utiliza un contenedor DI, utilice estos métodos para configurarla. Deben ser llamados antes de iniciar la sesión. <div class=wiki-methods-brief> setName(string $name): static .[method] --------------------------------------- Establece el nombre de la cookie que se utiliza para transmitir el ID de sesión. El nombre por defecto es `PHPSESSID`. Esto es útil si ejecuta varias aplicaciones diferentes en el mismo sitio. getName(): string .[method] --------------------------- Devuelve el nombre de la cookie de sesión. setOptions(array $options): static .[method] -------------------------------------------- Configura la sesión. Es posible establecer todas las [directivas de sesión |https://www.php.net/manual/en/session.configuration.php] de PHP (en formato camelCase, por ejemplo, escribir `savePath` en lugar de `session.save_path`) y también [readAndClose |https://www.php.net/manual/en/function.session-start.php#refsect1-function.session-start-parameters]. setExpiration(?string $time): static .[method] ---------------------------------------------- Establece el tiempo de inactividad tras el cual expira la sesión. setCookieParameters(string $path, ?string $domain=null, ?bool $secure=null, ?string $samesite=null): static .[method] --------------------------------------------------------------------------------------------------------------------- Establece los parámetros para las cookies. Puede cambiar los valores predeterminados de los parámetros en [configuration |configuration#Session cookie]. setSavePath(string $path): static .[method] ------------------------------------------- Establece el directorio donde se almacenan los archivos de sesión. setHandler(\SessionHandlerInterface $handler): static .[method] --------------------------------------------------------------- Establece el manejador personalizado, vea [la documentación de PHP |https://www.php.net/manual/en/class.sessionhandlerinterface.php]. </div> Seguridad .[#toc-safety-first] ============================== El servidor asume que se comunica con el mismo usuario mientras las peticiones contengan el mismo identificador de sesión. La tarea de los mecanismos de seguridad es garantizar que este comportamiento funciona realmente y que no hay posibilidad de sustituir o robar un identificador. Por eso Nette Framework configura adecuadamente las directivas PHP para transferir el identificador de sesión sólo en las cookies, evitar el acceso desde JavaScript e ignorar los identificadores en la URL. Además en momentos críticos, como el login del usuario, genera un nuevo identificador de sesión. La función ini_set se utiliza para configurar PHP, pero desafortunadamente, su uso está prohibido en algunos servicios de alojamiento web. Si es tu caso, intenta pedir a tu proveedor de hosting que te permita esta función, o al menos que configure su servidor adecuadamente. .[note]

Sesiones

HTTP es un protocolo sin estado, pero casi todas las aplicaciones necesitan mantener un estado entre peticiones, por ejemplo, el contenido de un carrito de la compra. Para esto se utiliza una sesión. Veamos

cómo usar las sesiones
cómo evitar conflictos de nombres
cómo fijar la caducidad

Cuando se utilizan sesiones, cada usuario recibe un identificador único llamado ID de sesión, que se pasa en una cookie. Esto sirve como clave para los datos de sesión. A diferencia de las cookies, que se almacenan en el navegador, los datos de sesión se almacenan en el servidor.

Configuramos la sesión en la configuración, la elección del tiempo de expiración es importante.

La sesión es gestionada por el objeto Nette\Http\Session, que se obtiene pasándolo mediante inyección de dependencia. En presentadores simplemente llame a $session = $this->getSession().

→ Instalación y requisitos

Inicio de la sesión

Por defecto, Nette iniciará una sesión automáticamente en el momento en que empecemos a leer de ella o a escribir datos en ella. Para iniciar una sesión manualmente, utilice $session->start().

PHP envía cabeceras HTTP que afectan a la caché cuando se inicia la sesión, ver session_cache_limiter, y posiblemente una cookie con el ID de sesión. Por lo tanto, siempre es necesario iniciar la sesión antes de enviar cualquier salida al navegador, de lo contrario se lanzará una excepción. Por lo tanto, si sabe que se va a utilizar una sesión durante la representación de la página, iníciela manualmente antes, por ejemplo en el presentador.

En modo desarrollador, Tracy inicia la sesión porque la utiliza para mostrar barras de redirección y peticiones AJAX en la Tracy Bar.

Sección

En PHP puro, el almacén de datos de sesión se implementa como un array accesible a través de una variable global $_SESSION. El problema es que las aplicaciones normalmente consisten en un número de partes independientes, y si todas tienen un mismo array disponible, tarde o temprano ocurrirá una colisión de nombres.

Nette Framework resuelve el problema dividiendo todo el espacio en secciones (objetos Nette\Http\SessionSection). Cada unidad utiliza entonces su propia sección con un nombre único y no pueden producirse colisiones.

Obtenemos la sección del gestor de sesiones:

$section = $session->getSection('unique name');

En el presentador basta con llamar a getSession() con el parámetro:

// $this es Presentador
$section = $this->getSession('unique name');

La existencia de la sección puede comprobarse mediante el método $session->hasSection('unique name').

La sección en sí es muy fácil de trabajar con los métodos set(), get() y remove():

// escritura de variables
$section->set('nombreusuario', 'franta');

// lectura de una variable, devuelve null si no existe
echo $section->get('nombredeusuario');

// eliminar variable
$section->remove('userName');

Es posible utilizar el ciclo foreach para obtener todas las variables de la sección:

foreach ($section as $key => $val) {
	echo "$key = $val";
}

Cómo fijar la caducidad

La caducidad puede establecerse para secciones individuales o incluso variables individuales. Podemos dejar que el login del usuario caduque en 20 minutos, pero seguir recordando el contenido de un carrito de la compra.

// la sección caducará a los 20 minutos
$section->setExpiration('20 minutes');

El tercer parámetro del método set() se utiliza para establecer la caducidad de variables individuales:

// la variable 'flash' caduca a los 30 segundos
$section->set('flash', $message, '30 seconds');

Recuerda que el tiempo de expiración de toda la sesión (ver configuración de la sesión) debe ser igual o superior al tiempo establecido para secciones o variables individuales.

La anulación de la caducidad previamente fijada puede conseguirse mediante el método removeExpiration(). La eliminación inmediata de toda la sección se asegurará mediante el método remove().

Eventos $onStart, $onBeforeWrite

El objeto Nette\Http\Session tiene los eventos $onStart y $onBeforeWrite, por lo que puedes añadir callbacks que sean llamados después de que la sesión se inicie o antes de que se escriba en disco y luego se termine.

$session->onBeforeWrite[] = function () {
	// escribir datos en la sesión
	$this->section->set('basket', $this->basket);
};

Gestión de sesiones

Visión general de los métodos de la clase Nette\Http\Session para la gestión de sesiones:

start(): void

Inicia una sesión.

isStarted(): bool

¿Se ha iniciado la sesión?

close(): void

Finaliza la sesión. La sesión termina automáticamente al final del script.

destroy(): void

Finaliza y borra la sesión.

exists(): bool

¿Contiene la petición HTTP una cookie con un ID de sesión?

regenerateId(): void

Genera un nuevo ID de sesión aleatorio. Los datos permanecen inalterados.

getId(): string

Devuelve el ID de sesión.

Configuración

Configuramos la sesión en configuración. Si está escribiendo una aplicación que no utiliza un contenedor DI, utilice estos métodos para configurarla. Deben ser llamados antes de iniciar la sesión.

setName(string $name): static

Establece el nombre de la cookie que se utiliza para transmitir el ID de sesión. El nombre por defecto es PHPSESSID. Esto es útil si ejecuta varias aplicaciones diferentes en el mismo sitio.

getName(): string

Devuelve el nombre de la cookie de sesión.

setOptions(array $options): static

Configura la sesión. Es posible establecer todas las directivas de sesión de PHP (en formato camelCase, por ejemplo, escribir savePath en lugar de session.save_path) y también readAndClose.

setExpiration(?string $time): static

Establece el tiempo de inactividad tras el cual expira la sesión.

setCookieParameters(string $path, ?string $domain=null, ?bool $secure=null, ?string $samesite=null): static

Establece los parámetros para las cookies. Puede cambiar los valores predeterminados de los parámetros en configuration.

setSavePath(string $path): static

Establece el directorio donde se almacenan los archivos de sesión.

setHandler(\SessionHandlerInterface $handler): static

Establece el manejador personalizado, vea la documentación de PHP.

Seguridad

El servidor asume que se comunica con el mismo usuario mientras las peticiones contengan el mismo identificador de sesión. La tarea de los mecanismos de seguridad es garantizar que este comportamiento funciona realmente y que no hay posibilidad de sustituir o robar un identificador.

Por eso Nette Framework configura adecuadamente las directivas PHP para transferir el identificador de sesión sólo en las cookies, evitar el acceso desde JavaScript e ignorar los identificadores en la URL. Además en momentos críticos, como el login del usuario, genera un nuevo identificador de sesión.

La función ini_set se utiliza para configurar PHP, pero desafortunadamente, su uso está prohibido en algunos servicios de alojamiento web. Si es tu caso, intenta pedir a tu proveedor de hosting que te permita esta función, o al menos que configure su servidor adecuadamente.

Nette Documentation Preview