Utilizando Sessões em PHP de forma inteligente

Introdução

Armazenamento de dados em sessão é um mecanismo oferecido pelo PHP que permite que a aplicação armazene/recupere dados específicos por usuário e compartilhados entre diferentes scripts. Este recurso é comumente utilizado para garantir a autenticação do usuário para que ele só precise informar a sua credencial uma única vez (log-in). Porém, este recurso também é importantíssimo para criar aplicações com nível de dinamicidade alto, e que requer o armazenamento constante de dados temporários, como uma cesta de compras, por exemplo. Neste artigo, veremos como utilizar a sessão de forma inteligente e otimizada, além de aprofundar em seu funcionamento.

---

O funcionamento das sessões

A primeira questão a ser explorada está relacionada aos recursos usados para o funcionamento das sessões. Antes de apresentar estes recursos, é preciso entender como as sessões funcionam.

O funcionamento básico segue estas etapas:

1. O cliente (navegador) acessa uma página (um script no servidor) que prevê a abertura de uma sessão.
2. O script requer a abertura de uma sessão, mas como não recebe nenhum ID de sessão informado pelo cliente, ele gera um ID aleatório, cria uma sessão associada a este ID, e solicita ao cliente o armazenamento deste ID, para que ele o informe para as demais páginas que acessar (seguindo algumas restrições, como prazo, domínio, etc).
3. O cliente recebe o pedido e, de alguma forma, armazena esse ID no navegador.
4. O cliente acessa outra página que também prevê a abertura de sessão e, neste ato, também informa a esta página (de algum modo) qual é o ID de sessão que ele recebeu do servidor.
5. O script requer a abertura de uma sessão e, como recebe um ID do cliente, verifica se existe uma sessão com aquele ID e, caso exista, recupera os dados da sessão, podendo utilizá-la no script.
6. ...

Este é o funcionamento. Não citei o recurso que o servidor usa para guardar a sessão, nem que recurso o cliente (navegador) usa para guardar o ID informado pelo servidor. Isso porque podem existir diferentes formas.

Armazenamento de dados da sessão

O servidor pode guardar sessões em arquivos, em Banco de Dados ou qualquer outro mecanismo de persistência de dados baseado em chave/valor (que seja suportado por PHP). Por padrão, o mecanismo usado é o armazenamento em arquivos no servidor. Estes arquivos ficam em um diretório reservado e seguro no servidor, onde o ID da sessão está presente no próprio nome do arquivo e o conteúdo do arquivo é uma string serializada dos dados da sessão (se você não sabe o que é uma string serializada, leia sobre as funções serialize e unserialize).

Armazenar muitos arquivos num único diretório pode ter uma baixa performance, dependendo do sistema de arquivos utilizado, do tamanho médio dos arquivos, etc. Talvez, seja interessante avaliar uma solução de armazenamento em banco de dados ou em memória. Você pode optar por um SGBD mais completo, mas pode ser um mais simples, como o SQLite ou o Firebird. Para configurar o PHP para usar um mecanismo de armazenamento diferente do padrão, é preciso implementar alguns métodos reservados, depois registrá-los com a função session_set_save_handler, antes de usar as funções de sessão. Esta função recebe 6 parâmetros do tipo callback, que representam funções que fazem as seguintes operações:

• open - abre uma sessão.
• close - fecha uma sessão.
• read - obtém o valor da sessão a partir da sua chave (nome da variável).
• write - armazena um valor na sessão associado a uma chave.
• destroy - apaga os dados da sessão a partir do ID de sessão.
• gc - limpa as sessões consideradas lixo (garbage collector).

A partir do PHP 5.4, a função session_set_save_handler passou a poder receber também um objeto que implementa a interface SessionHandlerInterface. Neste caso, não é necessário passar vários callbacks, apenas um objeto.

Para obter mais detalhes sobre como implementar seu próprio mecanismo de armazenamento, veja a documentação da função session_set_save_handler, que apresenta, inclusive, um exemplo de implementação.

Note que você continua usando as funções de sessão definidas pelo PHP, ou seja, session_start e session_destroy, além de acessar $_SESSION para armazenar e recuperar valores da sessão. A diferença é que, ao invés de usar a implementação padrão, o PHP irá chamar as funções que você registrou, para os respectivos propósitos. Tudo feito de forma transparente para quem usa a sessão. Se você implementou algumas das funções de maneira indevida, a utilização da sessão será impactada também.

Para utilização de sessões ainda mais rápidas, você pode optar por deixá-la em memória RAM. Uma solução conhecida e viável é usar o memcached, que pode até ficar em máquina(s) dedicada(s). Usar sessões em memória tem altíssima performance, porém, é preciso estar atento às configurações do tempo de vida da sessão e à capacidade de memória do servidor, para evitar estouro de memória.

Para utilizar o memcached para sessões, é necessário configurar um servidor com o serviço memcached, depois instalar o módulo pecl memcache ou o memcached no servidor web, e configurar as diretivas do php.ini: session.save_handler para "memcache" ou "memcached" e session.save_path apontando para o(s) servidore(s) configurados com memcache.

Para saber as diferenças entre estas extensões, recomendo este artigo: PHP Memcache vs. Memcached. E, para saber como instalar extensões pecl, leia o artigo: Instalação de módulos PEAR e PECL.

Armazenamento de ID de sessão pelo cliente

O armazenamento do ID de sessão pelo cliente (navegador) pode se dar de duas maneiras: (i) em um cookie de sessão ou (ii) usando trans_sid.

Usar cookies é o mecanismo mais recomendado e seguro para o propósito. O navegador guarda o ID em um cookie com um nome que pode ser configurado pelo script (através da função session_name) e, para cada acesso a uma página (do escopo especificado pela sessão), informa o valor do seu ID de sessão.

Uma dica é utilizar um nome diferente para cada usuário que acessa a página. Desta forma, dificulta o "roubo de sessão", ou seja, um usuário descobre o ID de sessão de outro, cria um cookie com o nome reservado e valor do ID de sessão e acessa a página que requer autenticação. Desta forma, este usuário malicioso irá se passar por outro que já efetuou a autenticação. Uma forma de se gerar um nome diferente por usuário é utilizar o IP e a string informada pelo User-Agent. Por exemplo:

session_name(md5('sal'.$_SERVER['REMOTE_ADDR'].'sal'.$_SERVER['HTTP_USER_AGENT'].'sal'));

Observação: no lugar de cada 'sal', você pode colocar um texto secreto, mas não aleatório.

Outra dica é configurar adequadamente as características do cookie de sessão através do método session_set_cookie_params, que recebe o tempo de duração do cookie (passe zero para a sessão durar até o navegador fechar), o path da URL onde o cookie é válido, o domínio onde o cookie é válido, se ele só será passado em conexão segura (HTTPS), e se ele terá a flag httpolny (para evitar que o cliente acesse o cookie via JavaScript, por exemplo).

Já o mecanismo trans_sid basicamente armazena o ID de sessão internamente pelo navegador e, para cada página acessada, o navegador informa o valor do ID de sessão através da query string da URL, ou seja, no próprio endereço da página. Isso pode ser um perigo, especialmente se o usuário esquecer a sessão aberta (não acessar a ferramenta "sair", que destrói a sessão dele), e o ID da sessão ficar exposto no histórico de seu navegador.

Para usar apenas cookies, basta utilizar as seguintes linhas antes da chamada de session_start:

ini_set('session.use_cookies', '1');
ini_set('session.use_only_cookies', '1');
ini_set('session.use_trans_sid', '0');

Note que são diretivas de configuração do PHP, que podem ser especificadas no arquivo php.ini. Para mais detalhes, leia o artigo "Configurações do PHP".

---

Utilização da sessão

Considerando que uma sessão possui um conjunto de valores definidos através de chaves/valores, que são serializados/desserializados, é notável que esta conversão tenha um custo. Guardar sessões com dados gigantescos, portanto, pode ser um problema, pois, a cada chamada de session_start este pacotão de dados deverá ser convertido de string para um array associativo. Uma dica útil é armazenar em sessão apenas o essencial. Por exemplo, você não precisa guardar todos dados do usuário logado em sessão. Você pode guardar apenas o ID (campo de identificação única do usuário) e guardar os dados do usuário logado em algum mecanismo de cache próprio.

Nesta mesma linha, também podemos citar o acumulo de muitos dados que já não são mais necessários. Por exemplo, dados que foram guardados em sessão para algum propósito, mas já não são necessários. Nestes casos, é útil que se limpe tudo que não é mais utilizado, para evitar o problema das sessões gigantes.

Mas se mesmo assim você ainda precisa utilizar a sessão para guardar dados em cache, ou seja, apenas para agilizar algo que já foi feito antes, então reserve uma posição de $_SESSION só pra isso e limite a quantidade de dados desta posição. Por exemplo, se reservamos a posição $_SESSION['cache'], então ao inserir um novo valor neste array, certifique-se que ele não passou de N posições e, caso tenha passado, remova a posição mais antiga com array_shift. Veja o exemplo que limita a posição $_SESSION['cache'] a 10 elementos apenas:

if (count($_SESSION['cache']) > 10) { 
    array_shift($_SESSION['cache']);
}

Lembre-se que um valor armazenável em cache é aquele que você consegue obter (ou calcular) novamente caso o valor não esteja em cache.

---

Concorrência entre Nomes de Chaves

A concorrência de nomes de chaves usadas na sessão se dá na medida em que qualquer script pode acessar qualquer possição de $_SESSION e, portanto, criar posições neste array com nomes dos mais variados. Se um script utiliza a posição $_SESSION['cod_usuario'] para um propósito e um outro script utiliza a mesma posição para outro propósito, o valor será sobrescrito em algum momento.

Para evitar este tipo de inconveniente, basta definir algumas regras de uso da variável $_SESSION. Por exemplo, estipular que o primeiro nível desse array será indexado pelo nome completo do arquivo. Então, se dois arquivos armazenarem valores em $_SESSION[__FILE__]['cod_usuario'], cada um estará armazenando um valor em uma posição diferente da sessão, afinal, a constante mágica __FILE__ guarda sempre o nome do arquivo corrente, que é diferente entre os dois scripts.

Usar o nome do arquivo pode ser útil quando o dado da sessão só é usado pelo próprio script, mas é problemático quando este dado é compartilhado entre vários scripts. Nestes casos, é recomendado reservar as chaves do primeiro nível de indexação do array $_SESSION com palavras intuitivas. Por exemplo, para manipular a sessão em uma classe, utilizar sempre a posição $_SESSION['classe'][__CLASS__]. Neste caso, se uma classe precisar de um dado de sessão de outra, basta ele informar o nome da outra classe. De forma semelhante, isso pode ser aplicado aos módulos da sua aplicação. Neste caso, cada módulo deve ter um cuidado especial para saber exatamente quais posições ele manipula, para não ocorrer concorrência de chaves entre o próprio módulo.

---

Conclusão

Este artigo veio para destrinchar um assunto muito importante, mas que nem todos programadores PHP tem domínio completo.

Espero que tenham gostado e deixem suas criticas e sugestões.