array ( 0 => 'index.php', 1 => 'PHP Manual', ), 'head' => array ( 0 => 'UTF-8', 1 => 'es', ), 'this' => array ( 0 => 'function.session-regenerate-id.php', 1 => 'session_regenerate_id', 2 => 'Reemplaza el identificador de sesión actual por uno nuevo', ), 'up' => array ( 0 => 'ref.session.php', 1 => 'Funciones de sesión', ), 'prev' => array ( 0 => 'function.session-name.php', 1 => 'session_name', ), 'next' => array ( 0 => 'function.session-register-shutdown.php', 1 => 'session_register_shutdown', ), 'alternatives' => array ( ), 'source' => array ( 'lang' => 'es', 'path' => 'reference/session/functions/session-regenerate-id.xml', ), 'history' => array ( ), ); $setup["toc"] = $TOC; $setup["toc_deprecated"] = $TOC_DEPRECATED; $setup["parents"] = $PARENTS; manual_setup($setup); contributors($setup); ?>

session_regenerate_id

(PHP 4 >= 4.3.2, PHP 5, PHP 7, PHP 8)

session_regenerate_id — Reemplaza el identificador de sesión actual por uno nuevo

Descripción

session_regenerate_id(bool $delete_old_session = false): bool

session_regenerate_id() reemplazará el identificador de sesión actual por uno nuevo, generado automáticamente, manteniendo los valores de sesión.

Cuando la opción session.use_trans_sid está activa, la salida para visualización debe comenzar después de la llamada a la función session_regenerate_id(). De lo contrario, se utilizará el antiguo ID de sesión.

Advertencia

Actualmente, session_regenerate_id no maneja adecuadamente una red inestable. Por ejemplo, redes móviles y WiFi. Por lo tanto, puede encontrarse una pérdida de sesión al llamar a session_regenerate_id.

No se deben destruir los antiguos datos de sesión inmediatamente, sino que se debe utilizar el timestamp de destrucción y controlar el acceso al antiguo ID de sesión. De lo contrario, el acceso simultáneo a la página puede provocar un estado inconsistente, o quizás se haya perdido la sesión, o puede provocar un acceso concurrente lado-cliente (navegador) y puede crear muchos ID de sesión innecesariamente. La eliminación inmediata de datos de sesión también desactiva la detección y prevención de ataques de secuestro de sesión.

Parámetros

delete_old_session

Si se debe borrar el antiguo archivo de sesión asociado o no. No se debe eliminar la antigua sesión si se necesita evitar accesos concurrentes causados por la eliminación o detectar/evitar ataques de secuestro de sesión.

Valores devueltos

Esta función retorna true en caso de éxito o false si ocurre un error.

Ejemplos

Ejemplo #1 Ejemplo con session_regenerate_id()

<?php
// Nota: este código no funciona completamente, es un ejemplo!

session_start();

// Verificar el timestamp de destrucción
if (isset($_SESSION['destroyed'])
&& $_SESSION['destroyed'] < time() - 300) {
// No debería ocurrir habitualmente. Esto podría ser una ataque
// o debido a una red inestable. Elimine todo el estado de
// autenticación de esta sesión de usuario.
remove_all_authentication_flag_from_active_sessions($_SESSION['userid']);
throw(new DestroyedSessionAccessException);
}

$old_sessionid = session_id();

// Definir el timestamp de destrucción
$_SESSION['destroyed'] = time(); // session_regenerate_id () registra los antiguos datos de sesión

// Simplemente llamar a session_regenerate_id() puede provocar pérdida de sesión, etc.
// Ver el ejemplo siguiente.
session_regenerate_id();

// La nueva sesión no necesita el timestamp de destrucción
unset($_SESSION['destroyed']);

$new_sessionid = session_id();

echo "Sesión antigua: $old_sessionid<br />";
echo "Sesión nueva: $new_sessionid<br />";

print_r($_SESSION);
?>

El módulo de sesión actual no maneja adecuadamente una red inestable. Se debe gestionar el ID de sesión para evitar la pérdida de sesión por session_regenerate_id.

Ejemplo #2 Evitar la pérdida de sesión por session_regenerate_id()

<?php
// Nota: este código no funciona completamente, es un ejemplo!
// my_session_start() y my_session_regenerate_id() evitan sesiones perdidas
// por red inestable. Además, este código puede evitar la explotación de
// sesión robada por atacantes.

function my_session_start() {
session_start();
if (isset($_SESSION['destroyed'])) {
if ($_SESSION['destroyed'] < time()-300) {
// No debería ocurrir habitualmente. Esto podría ser una
// ataque o debido a una red inestable. Elimine todo el estado
// de autenticación de esta sesión de usuario.
remove_all_authentication_flag_from_active_sessions($_SESSION['userid']);
throw(new DestroyedSessionAccessException);
}
if (isset($_SESSION['new_session_id'])) {
// No ha expirado completamente. Podría ser pérdida de cookie por red inestable.
// Intente nuevamente definir la cookie de ID de sesión adecuada.
// Nota: no intente redefinir el ID de sesión si
// desea eliminar el estado de autenticación.
session_commit();
session_id($_SESSION['new_session_id']);
// El nuevo ID de sesión debe existir
session_start();
return;
}
}
}

function my_session_regenerate_id() {
// El nuevo ID de sesión es requerido para definir el ID de sesión adecuado
// cuando el ID de sesión no está definido debido a una red inestable.
$new_session_id = session_create_id();
$_SESSION['new_session_id'] = $new_session_id;

// Define el timestamp de destrucción
$_SESSION['destroyed'] = time();

// Escribe y cierra la sesión actual
session_commit();

// Inicia la sesión con un nuevo ID
session_id($new_session_id);
ini_set('session.use_strict_mode', 0);
session_start();
ini_set('session.use_strict_mode', 1);

// La nueva sesión no lo necesita
unset($_SESSION['destroyed']);
unset($_SESSION['new_session_id']);
}
?>

Ver también