【サクッと解説】PHP セッションの使い方とセキュリティ対策

2025年8月4日

1. 本記事のポイント

PHPにおけるセッション管理の基本と使い方を整理
セッションIDの扱い方や再生成の実装方法を紹介
実務で考慮すべきセッション関連のセキュリティ対策を解説

2. PHPのセッションとは？

PHPのセッションとは、複数のHTTPリクエスト間でユーザの状態を維持する仕組みです。たとえばログイン情報やカートの中身など、ブラウザをまたいでサーバ側で管理する必要がある情報に使われます。

PHPでは $_SESSION スーパーグローバルを通じてセッション変数にアクセスします。セッションは主にCookieに格納されたセッションID（SID）をもとに識別され、サーバ側に保存された値が対応づけられます。

セッション管理はログイン認証やユーザトラッキングなど多くのWebアプリに欠かせない要素です。一方で、セッションハイジャックや固定セッションIDなど、セキュリティ面でのリスクも含まれるため、正しく安全に使うことが重要です。

3. 詳細解説

基本的なセッションの使い方

最も基本的なセッションの利用方法は以下の通りです。セッションの開始には session_start() を使います。

PHP

<?php
// セッション開始
session_start();

// 値の保存
$_SESSION['username'] = 'user1';

// 値の取得
echo $_SESSION['username']; // 出力: user1
?>

<?php
// セッション開始
session_start();

// 値の保存
$_SESSION['username'] = 'user1';

// 値の取得
echo $_SESSION['username']; // 出力: user1
?>

session_start() は必ずHTML出力より前に呼び出す必要があります。ヘッダ送信後に呼ぶと警告が出ます。

セッションIDの再生成（セッション固定攻撃対策）

セッションIDが予測可能だと、攻撃者に乗っ取られる恐れがあります。重要な操作後にはセッションIDを再生成します。

PHP

<?php
session_start();

// ログイン成功後などにID再生成
session_regenerate_id(true); // true: 古いセッションの削除
?>

<?php
session_start();

// ログイン成功後などにID再生成
session_regenerate_id(true); // true: 古いセッションの削除
?>

IDの再生成は、ログイン処理後などに必ず行うべきです。

セッションの破棄（ログアウト処理など）

ログアウト時はセッションの中身をクリアし、IDを無効化します。

PHP

<?php
session_start();

// セッション変数の全削除
$_SESSION = array();

// セッションクッキーの削除
if (ini_get("session.use_cookies")) {
    $params = session_get_cookie_params();
    setcookie(session_name(), '', time() - 42000,
        $params["path"], $params["domain"],
        $params["secure"], $params["httponly"]
    );
}

// セッションの破棄
session_destroy();
?>

<?php
session_start();

// セッション変数の全削除
$_SESSION = array();

// セッションクッキーの削除
if (ini_get("session.use_cookies")) {
    $params = session_get_cookie_params();
    setcookie(session_name(), '', time() - 42000,
        $params["path"], $params["domain"],
        $params["secure"], $params["httponly"]
    );
}

// セッションの破棄
session_destroy();
?>