php - 使用 $_SESSION 超全局获取当前在线用户并稍后将其设置回当前 session 数据是否不好？

Question

我正在使用数据库来存储我的 session 数据。我已经创建了一些函数来查询当前的事件 session 并返回一些要在当前页面上使用的值。使用单个查询获取打开 session 的数量似乎很容易 “从用户 session 中选择 session 数据” 并返回查询返回的行数。

然后我想确定哪些站点用户当前“在线”。该 session 存储正在查看该网站的用户的用户 ID。我找了又找，似乎只找到了 session_decode 函数，用于解码似乎是序列化数据的内容(但 unserialize 不起作用)。这里唯一的问题是，session_decode 自动填充 $_SESSION 超全局。所以我的问题是，临时存储 $_SESSION 数据，对当前在线的每个用户使用 session_decode，然后将 $_SESSION 变量重置为临时存储的数据是否“不好”？

function getLoggedInUsers() {
            //NEED SOME ERROR HANDLING AROUND DB STUFF
    $oConn = DB::connect(RF_DSN);

    $oPrep = $oConn->prepare("SELECT SessionData FROM UserSessions WHERE SessionData LIKE ?");

    $oRes = $oConn->execute($oPrep, array("%UserID%"));

    $aCurSession = $_SESSION; //STORE SESSION DATA TO RESET LATER

    $aLoggedInUsers = array();
    while ($oRow = $oRes->fetchRow(DB_FETCHMODE_ASSOC)) {
        if ($oRow == NULL) {
            break;
        }

        $_SESSION = array();

        session_decode($oRow["SessionData"]);

        $aLoggedInUsers[] = new User($_SESSION["UserID"]);

        $_SESSION = array();
    }

    $_SESSION = $aCurSession; //RESET SESSION DATA TO CURRENT ONLINE USER

    return $aLoggedInUsers;
}

在我看来这行得通，但是否存在任何已知的情况，在这种情况下这可能会失败，然后当前用户最终会得到一些其他用户的 session 数据，从而有效地以可能的管理员或其他身份登录？在我的 UserSessions 数据库中存储另一个字段来存放 UserID 或类似的东西会更好吗？

**编辑*** 我正在尝试显示所有当前登录用户(已在网站上注册并登录)的用户名。

Answer 1

我建议您在 session 表中添加一列，该列在 session 数据之外单独存储用户 ID。这样你就可以使用 SQL 来获取这样的名称。 (使用假设的用户表)

SELECT UserTable.userName FROM SessionData
INNER JOIN UserTable
ON SessionData.userId = UserTable.id

假设您正在使用另一个查询在预定时间段后清除旧 session ，此查询将返回每个登录用户的当前 session 数据以及用户表中包含他们的用户的行用户名。

$_SESSION 数组应该只用于存储与用户当前 session 相关的信息，而不是站点周围的其他 session 。