Apache 模組 mod_session

什麼是階段？

階段介面的核心是一張鍵值對表格，並可以在瀏覽器要求中存取。依據使用階段的應用程式需要，這些對值可以設定為任何有效的字串。

「階段」是一個 application/x-www-form-urlencoded 字串，其中包含這些定義在 HTML 規範 中的鍵值對。

階段在寫入儲存機制之前，可以選擇先進行加密和 base64 編碼，由管理員定義。

誰可以使用階段？

階段介面主要是開發給其他伺服器模組使用，例如 mod_auth_form，不過也可以選擇授與基於 CGI 的應用程式存取階段內容，方法是透過 HTTP_SESSION 環境變數。階段可以使用包含新階段參數的 HTTP 回應標頭進行修改及/或更新。

在伺服器上保留階段

可以設定 Apache 在特定伺服器或伺服器群組上追蹤每個使用者的階段。此功能類似在一般應用程式伺服器中提供的階段。

如果已設定組態，階段會透過儲存在 cookie 中的階段 ID 追蹤，或從 URL 查詢字串內嵌的參數中擷取，就像一般 GET 要求找到的一樣。

由於階段內容完全儲存在伺服器上，所以預期階段內容具有隱私性。如果出現大量階段，或大量網路伺服器必須彼此分享階段，這會對效能和資源造成影響。

mod_session_dbd 模組允許透過 mod_dbd 將使用階段儲存在 SQL 資料庫中。

在瀏覽器上保留階段

在流量大的環境中，在伺服器上追蹤階段會耗費太多資源或不方便，因此改為選擇將階段內容儲存在客戶端瀏覽器的 cookie 內。

這具有優點，也就是在伺服器上追蹤階段所需的資源很小，而伺服器農場內的數個伺服器不需要分享階段資訊。

然而，該會話內容會揭露給用戶端，這伴隨著隱私損失的風險。你可以設定 mod_session_crypto 模組，在將會話寫入用戶端之前先對會話內容進行加密。

mod_session_cookie 允許在 HTTP Cookie 中於瀏覽器上儲存使用者會話。

基本範例

若要建立會話，只要開啟會話，並決定會話的儲存位置即可，十分簡單。在此範例中，會話會儲存在瀏覽器上名為 session 的 Cookie 中。

Session On
SessionCookieName session path=/

除非會話可以寫入或讀取，否則會話便派不上用場。以下範例顯示如何透過名為 X-Replace-Session 的預先定義 HTTP 回應標頭，將值注入會話。

Session On
SessionCookieName session path=/
SessionHeader X-Replace-Session

標頭應包含名稱值對，格式與網址中的查詢字串相同，如下面的範例。將金鑰設定為空字串會將金鑰從會話中移除。

#!/bin/bash
echo "Content-Type: text/plain"
echo "X-Replace-Session: key1=foo&key2=&key3=bar"
echo
env

如果已設定，可以從 HTTP_SESSION 環境變數中讀回會話。預設情況下，會話會保持私密，因此必須使用 SessionEnv 指令明確開啟此功能。

Session On
SessionEnv On
SessionCookieName session path=/
SessionHeader X-Replace-Session

讀取後，CGI 變數 HTTP_SESSION 應包含值 key1=foo&key3=bar。

會話隱私

使用瀏覽器的「顯示 Cookie」功能，你可以看到會話的純文字表示。如果最終使用者不需知道會話內容，或是第三方可能會未經授權存取會話中的資料，這可能會造成問題。

在使用 mod_session_crypto 模組將會話置於瀏覽器之前，會話內容可以選擇進行加密。

Session On
SessionCryptoPassphrase secret
SessionCookieName session path=/

Apache 會在載入時自動解密會話，並在儲存時加密會話；使用會話的基礎應用程式不需要知道正在進行加密。

儲存在伺服器而非瀏覽器上的會話也可以依需要進行加密，當使用 mod_session_dbd 模組在伺服器農場中之 Web 伺服器間共享潛在敏感資訊時，提供隱私權。

Cookie 隱私權

HTTP Cookie 機制也提供隱私權功能，例如將 Cookie 傳輸僅限於受 SSL 保護的網頁，或防止基於瀏覽器的 JavaScript 存取 Cookie 內容。

標準 Cookie 參數可以在 Cookie 名稱後指定，如下例所示。

Session On
SessionCryptoPassphrase secret
SessionCookieName session path=/private;domain=example.com;httponly;secure;

在 Apache 伺服器作為後端原始伺服器的前端時，可以使用 SessionCookieRemove 指令從輸入的 HTTP 標頭中移除 session Cookie。這可避免後端伺服器存取 session Cookie 的內容。

用於驗證的 session 支援

如同許多應用程式伺服器有可能一樣，驗證模組可在登入後使用 session 儲存使用者名稱和密碼。 mod_auth_form 會將使用者的登入名稱和密碼儲存在 session 中。

Session On
SessionCryptoPassphrase secret
SessionCookieName session path=/
AuthFormProvider file
AuthUserFile "conf/passwd"
AuthType form
AuthName "realm"
#...

請參閱 mod_auth_form 模組以取得文件和完整的範例。

整合 session 與外部應用程式

若要讓 session 能發揮功用，必須容許與外部應用程式分享 session 內容，也必須容許外部應用程式自己寫入 session。

典型的範例可能是變更 mod_auth_form 所設定使用者密碼的應用程式。這個應用程式需要從 session 讀取目前的使用者名稱和密碼，針對使用者的密碼進行必要的變更，然後寫入新的密碼到 session 中，以提供順暢無縫地切換到新的密碼。

第二個範例可能是第一次為新使用者註冊的應用程式。註冊完成後，使用者名稱和密碼會寫入到 session 中，提供順暢無縫地切換到登入狀態。

Apache 模組

伺服器內需要存取 session 的模組可以使用 mod_session.h API 從 session 讀取和寫入。此機制是 mod_auth_form 等模組所使用。

CGI 程式和腳本語言

在 Web 伺服器中執行的應用程式可以選擇性地從HTTP_SESSION環境變數中擷取這段回合的數值。這段回合應該以application/x-www-form-urlencoded字串編碼，如HTML 規格中所述。這項環境變數可透過SessionEnv指令的設定控制。腳本程式可以透過傳回名稱由SessionHeader指令設定的application/x-www-form-urlencoded回應標頭來撰寫這段回合。在這兩種情況下，任何加密或解密和從所選儲存機制中讀取或寫入這段回合均由mod_session模組和相對應的組態來處理。

mod_proxy之後的應用程式

如果SessionHeader指令用來定義 HTTP 要求標頭，則編碼為application/x-www-form-urlencoded字串的這段回合可供應用程式使用。如果回應中提供了相同的標頭，這個回應標頭的數值會用來取代這段回合。如上所述，任何加密或解密和從所選儲存機制中讀取或寫入這段回合均由mod_session模組和相對應的組態來處理。

獨立的應用程式

應用程式可能會選擇在 Apache HTTP 伺服器的控制之外操作這段回合。在這種情況下，應用程式有責任從所選儲存機制讀取這段回合、解密這段回合、更新這段回合、加密這段回合，以及視情況而定寫入所選儲存機制中的這段回合。