セッションの有効期限

[kteraguchi]

NC2では、セッションの有効期限を0にしていました。
https://github.com/netcommons/NetCommons2/blob/develop/html/maple/filter/Filter_SetConfig.class.php#L210

CakePHPのデフォルトはPHPの設定を使用するようです。
https://github.com/cakephp/cakephp/blob/1af5d23e87d895e73163c55a930d9980404203c1/app/Config/core.php#L217-L219
(おそらく1440秒)

上記箇所を書き換えると有効期限も設定できます。
http://book.cakephp.org/2.0/ja/development/sessions.html
から抜粋

Configure::write('Session', array(
    'defaults' => 'php',
    'timeout' => 2160, // 36 hours
    'ini' => array(
        'session.gc_maxlifetime' => 129600 // 36 hours
    )
));

gc_maxlifetimeに対する設定も必要で単位が違うことに注意です。

[kteraguchi]

間違えました。
CakePHPのデフォルトは240分（4時間）でした。
https://github.com/cakephp/cakephp/blob/1af5d23e87d895e73163c55a930d9980404203c1/lib/Cake/Model/Datasource/CakeSession.php#L618-L625

[kteraguchi]

セッション周りをざっと見てたら、ちょっとややこしいかったのでまとめときます。

**この辺の処理**のことです。

Configure::write('Session', array(foo));

で有効期限を指定するKey

• Session.timeout - session.gc_maxlifetime,session.cookie_lifetimeを書き換えます。
• Session.cookieTimeout - session.cookie_lifetimeを書き換えます。
• Session.ini.gc_maxlifetime - session.gc_maxlifetimeを書き換えます。
• Session.ini.cookie_lifetime - session.cookie_lifetimeを書き換えます。

下にある方が優先されます。

Configure::write('Session', array(
    'timeout' => 1,
    'cookieTimeout' => 10,
    'ini' => array(
        'session.gc_maxlifetime' => 100,
        'session.cookie_lifetime' => 200
    )
));

の場合、Session.timeoutとSession.cookieTimeoutは意味なしです。

Configure::write('Session', array(
    'timeout' => 1,
    'cookieTimeout' => 10,
));

の場合、session.gc_maxlifetimeは1、session.cookie_lifetimeは10になります。

後、Session.autoRegenerate についても要調査です。
とりあえず現状であげときます。

参考
http://book.cakephp.org/2.0/ja/development/sessions.html

[kteraguchi]

Session.autoRegenerateをtrueにすると10回毎のアクセスで、session_regenerate_id(true);が実行されます。
https://github.com/cakephp/cakephp/blob/1af5d23e87d895e73163c55a930d9980404203c1/lib/Cake/Model/Datasource/CakeSession.php#L713-L719

session_regenerate_id(true)が実行されると、Set-Cookieヘッダーが送信されるので、クラインとのクッキー有効期間が延長されます。
ただ、非同期リクエスト（Ajaxや、imgタグでアクション指定）された場合、session_regenerate_id(true)が実行されていると、セッションが変わっているため、正常に動作しなくなる可能性があります。
なので、Session.autoRegenerateはtrueにしない方が良いと思います。

クラインとのクッキー有効期間を延長させる仕組みが別途必要な気がしています。
うーん。思ってたより大変そうです。

[kteraguchi]

session_regenerate_idと非同期リクエストについて、以下が参考になりそうです。

http://www.ecoop.net/memo/archives/2009-08-19-1.html

以下抜粋部分は、session_destroyで良い気がしてます。

// 以下セッションフィクセーション対策
if(isset($_SESSION[‘expire’]) && $_SESSION[‘expire’] < time()){
    // 過去に session_regenerate_id() で置き換えられた古いセッションによるアクセス。
    // 有効期限を過ぎていればセッション情報をクリアする。
    $_SESSION = array();
}

[kteraguchi]

現状の設定だと、最初にSessionが作成されたときだけ、Set-Cookieヘッダーが送られているようです。
4時間でログアウトしてしまいます。

また、Ubuntuは、セッションのガベージをcronでやってるそうです。（アクセス権の問題？？）
http://d.hatena.ne.jp/morita21/20100902/1283436108

vagrant環境で、gc_probabilityが0だったので、ちょっと調べてみました。
/etc/cron.d/php5
に処理が書かれてました。

gc_maxlifetimeは1440秒で、cronが30分毎に動作するようなので、
タイミングによっては、30分でログアウトされちゃいます。

たまにログアウトされてしまうことがあったので、参考情報としてあげときます。