セッションのクッキーを設定する場合のベストプラクティス

(Last Updated On: 2018年8月18日)HTTPセッションは通常クッキーを利用して行います。クッキーを利用したセッションの場合、お薦めする設定は以下の通りです。 ドメイン名は指定しない パスはルート(/)を指定する セッション管理用のクッキーはセッションクッキー（有効期間０）にする httponly属性を付ける 可能な場合は必ずsecure属性をつける 複数アプリケーションを利用する場合はsession.nameまたはsession_name()でセッションクッキー名で指定する （アプリケーションの固有名デフォルトで設定し、設定項目として変更できるようにする） 3まではPHPデフォルト設定です。4から6までは自分で設定しなければなりません。PHPの場合、すべてphp.iniで指定できます。session_set_cookie_params()でセッション開始前に指定すれば

[yoknst]

session cookie

[haseharu]

cookie

[ouest]

３は常識として知っておくべき知識です。クッキーの有効期限が０の場合、普通のブラウザはクッキーをメモリにみ保存します。つまりブラウザを終了させるとクッキーが消えます。

[mumincacao]

毎回ろぐいんするのがめんどいからって有効期限長くしちゃうひと見かけるなぁ・・・ 大量のせっしょん情報が残ってるから GC まわり調べてみたら有効期限２ヶ月になってたなんて落ちが・・・ （´・ω【みかん

[hiro_y]

「自動ログインを有効にする場合は別の使い捨ての認証用クッキー（再認証用のトークン）を用い、ログインする場合に自動ログインするか、しないか選択できるようにしてユーザが制御できるようにします。」

[mrgoofy33]

セッションのクッキーを設定する場合のベストプラクティス (via @ReadItLater)

[PaulYamamoto]

次はやってはならないことです。 有効期限の長いセッションを再ログイン用に使う Trans SIDを不要なのに有効にする