実行時設定

php.ini の設定により動作が変化します。

**セッションの設定オプション**
名前	デフォルト	変更の可否	変更履歴
session.save_path	""	PHP_INI_ALL
session.name	"PHPSESSID"	PHP_INI_ALL
session.save_handler	"files"	PHP_INI_ALL
session.auto_start	"0"	PHP_INI_ALL
session.gc_probability	"1"	PHP_INI_ALL
session.gc_divisor	"100"	PHP_INI_ALL	PHP 4.3.2 から利用可能
session.gc_maxlifetime	"1440"	PHP_INI_ALL
session.serialize_handler	"php"	PHP_INI_ALL
session.cookie_lifetime	"0"	PHP_INI_ALL
session.cookie_path	"/"	PHP_INI_ALL
session.cookie_domain	""	PHP_INI_ALL
session.cookie_secure	""	PHP_INI_ALL	PHP 4.0.4 から利用可能
session.cookie_httponly	""	PHP_INI_ALL	PHP 5.2.0 から使用可能
session.use_cookies	"1"	PHP_INI_ALL
session.use_only_cookies	"1"	PHP_INI_ALL	PHP 4.3.0 から利用可能
session.referer_check	""	PHP_INI_ALL
session.entropy_file	""	PHP_INI_ALL
session.entropy_length	"0"	PHP_INI_ALL
session.cache_limiter	"nocache"	PHP_INI_ALL
session.cache_expire	"180"	PHP_INI_ALL
session.use_trans_sid	"0"	PHP_INI_ALL	PHP_INI_ALL は PHP <= 4.2.3、PHP_INI_PERDIR は PHP < 5 から。PHP 4.0.3 から利用可能。
session.bug_compat_42	"1"	PHP_INI_ALL	PHP 4.3.0 から利用可能。この非推奨の機能は、きっと将来削除されるでしょう。
session.bug_compat_warn	"1"	PHP_INI_ALL	PHP 4.3.0 から利用可能。この非推奨の機能は、きっと将来削除されるでしょう。
session.hash_function	"0"	PHP_INI_ALL	PHP 5.0.0 から利用可能
session.hash_bits_per_character	"4"	PHP_INI_ALL	PHP 5.0.0 から利用可能
url_rewriter.tags	"a=href,area=href,frame=src,form=,fieldset="	PHP_INI_ALL	PHP 4.0.4 から利用可能

PHP_INI_* モードの詳細および定義についてはどこで設定を行うのかを参照してください。

セッション管理システムは、php.iniファイルに記述可能な多くの設定オプションをサポートします。以下に概要を示します。

session.save_handler string: session.save_handler は、セッションに関連するデータの保存および取得時に使用するハンドラを定義します。デフォルトは、files です。各拡張モジュールで、独自の save_handler を使用できることに注意しましょう。インストール環境単位で登録されているハンドラを取得するには phpinfo() を使用します。 session_set_save_handler() も参照してください。
session.save_path string: session.save_path は、保存ハンドラに渡される引数を定義します。デフォルトのファイルハンドラを選択した場合、ファイルが作成される場所のパスになります。 session_save_path() も参照ください。
オプションの引数としてN（数値）を指定できます。これはセッションファイルを分散して保存する際にディレクトリ階層レベルを決定します。例えば、'5;/tmp'とすると /tmp/4/b/1/e/3/sess_4b1e384ad74619bd212e236e52a5a174If という位置にセッションファイルを生成します。 Nを使用するには、これらすべてのディレクトリが事前に作成されている必要があります。そのためのシェルスクリプトがext/sessionに mod_files.shというファイル名であります。 Windows 版の mod_files.bat もあります。また、0以上のNが指定されている場合には自動ガーベッジコレクションが機能しないことに注意してください。詳細は php.ini を見てください。また、Nを指定する場合は、 session.save_pathを"quotes"で囲う必要があります。なぜならセパレータ(;) は php.ini ではコメントとしても利用されているからです。

警告
この設定を/tmp (デフォルト)のようにどこからでも読み込み可能なディレクトリのままにしている場合、サーバ上の他のユーザがこのディレクトリのファイルのリストを取得することにより、セッションをハイジャックをすることが可能となります。

注意: PHP 4.3.6 以前では、WindowsユーザがPHPのsession関数を使用するためには、この変数を変更する必要があります。c:/temp のような有効なパスを指定するようにしてください。
session.name string: session.name はセッション名を指定し、クッキー名として使用されます。アルファベット文字のみで指定する必要があります。デフォルトは、PHPSESSID です。 session_name()も参照してください。
session.auto_start boolean: session.auto_start はリクエスト開始時にセッションモジュールがセッションを自動的に開始するかどうかを指定します。デフォルトは、0(無効)です。
session.serialize_handler string: session.serialize_handler は、シリアル化またはシリアル化データを復元するために使用されるハンドラの名前を定義します。現在、( php あるいは php_binary という名前の) PHP 内部フォーマットおよび (wddx という名前の) WDDX がサポートされています。WDDX は、PHP がWDDX サポートを有効にしてコンパイルされている場合のみ使用可能です。デフォルトは、 php です。
session.gc_probability integer: session.gc_probabilityと session.gc_divisorの組み合わせでgc （ガーベッジコレクション）ルーチンの始動を制御します。デフォルトは、1 です。詳細はsession.gc_divisor をご覧ください
session.gc_divisor integer: session.gc_divisorと session.gc_probabilityの組み合わせですべてのセッションの初期化過程でgc（ガーベッジコネクション）プロセスも始動する確率を制御します。確率は gc_probability/gc_divisor で計算されます。例えば、1/100は各リクエスト毎に1%の確率でGCプロセスが始動します。 session.gc_divisorのデフォルトは100です。
session.gc_maxlifetime integer: session.gc_maxlifetime は、データが 'ごみ' とみなされ、消去されるまでの秒数を指定します。ガベージコレクション (ごみの収集) は、セッションの開始時に行われます (session.gc_probability と session.gc_divisor に依存します)。
注意:
異なる値を session.gc_maxlifetime に指定している別々のスクリプトがセッションデータの保存場所を共有している場合、一番小さい設定値に達した時点でデータが消去されます。このような場合には、お互いに session.save_path を使用します。

注意: デフォルトのファイルに基づくセッションハンドラを使用している場合、使用するファイルシステムは、アクセス時間(atime)を記録できる必要があります。Windows FATはこれができないため、 FATファイルシステムまたはatimeの記録ができない他のファイルシステムで問題を発生した場合は、セッションのガベージコレクト処理を行う他の手段を用意する必要があります。 PHP4.2.3以降、atimeの代わりにmtime（更新時刻）が使用されます。このため、atimeが利用できないファイルシステムでの問題は無くなりました。
session.referer_check string: session.referer_check には、HTTP Referer において確認を行う文字列を指定します。Refererがクライアントにより送信されており、かつ、指定した文字列が見付からない場合、埋め込まれたセッションIDは無効となります。デフォルトは空の文字列です。
session.entropy_file string: session.entropy_file は、セッションIDを作成する際の別のエントロピーソースとして使用する外部リソースへのパスを指定します。例としては、多くの UNIX で利用可能な /dev/random または /dev/urandom があげられます。この機能は、Windows では PHP 5.3.3 以降で対応します。 session.entropy_length にゼロ以外の値を設定すると、 PHP は Windows Random API をエントロピーソースとして使います。
session.entropy_length integer: session.entropy_length は、前記のファイルから読みこむバイト数を指定します。デフォルトは、0 (無効)です。
session.use_cookies boolean: session.use_cookiesによりクライアント側にセッションIDを保存する際にクッキーを使用するかどうかを指定します。デフォルトは1 (有効)です。
session.use_only_cookies boolean: session.use_only_cookies は、このモジュールがクライアント側へのセッション ID の保存に Cookie のみを使用することを指定します。この設定を有効にすることにより、セッション ID を URL に埋め込む攻撃を防ぐことができます。この設定は、 PHP 4.3.0 で追加されました。 PHP 5.3.0 以降で、デフォルトは 1 (有効) となります。
session.cookie_lifetime integer: session.cookie_lifetime は、ブラウザに送信するクッキーの有効期間を秒単位で指定します。 0 を指定すると "ブラウザを閉じるまで" という意味になります。デフォルトは、0 です。 session_get_cookie_params() および session_set_cookie_params() も参照してください。
注意:
有効期限のタイムスタンプは、サーバの時刻に基づいて決まります。クライアントのブラウザの時刻がこれと同じであるとは限りません。
session.cookie_path string: session.cookie_path によりセッションクッキーで設定するパスを指定します。デフォルトは/です。 session_get_cookie_params()および session_set_cookie_params()も参照してください。
session.cookie_domain string: session.cookie_domain によりセッションクッキーで指定するドメインを指定します。デフォルトでは指定されません。この場合は、クッキーの仕様によって、クッキーを作成したサーバのホスト名が指定されます。 session_get_cookie_params() および session_set_cookie_params() も参照ください。
session.cookie_secure boolean: session.cookie_secureは、セキュアな接続を通じてのみCookieを送信できるかどうかを指定します。デフォルトは、offです。この設定は、PHP 4.0.4で追加されました。 session_get_cookie_params()および session_set_cookie_params()も参照してください。
session.cookie_httponly boolean: クッキーに対して、HTTP を通してのみアクセスできるようにします。つまり、JavaScript のようなスクリプト言語からはアクセスできなくなるということです。この設定を使用すると、XSS 攻撃によって ID を盗まれる危険性を減らせます (が、すべてのブラウザがこの設定をサポートしているというわけではありません)。
session.cache_limiter string: session.cache_limiter により、セッションページにおけるキャッシュ制御の方法を指定します。 nocache、private、 private_no_expire あるいは public のいずれかとなります。デフォルトは nocache です。これらの値の意味については session_cache_limiter() のドキュメントも参照ください。
session.cache_expire integer: session.cache_expireによりキャッシュされたセッションページの有効期間を分単位で指定します。このオプションは、nocacheリミッタに関しては効果がありません。デフォルトは、180です。 session_cache_expire()も参照してください。
session.use_trans_sid boolean: session.use_trans_sidは、透過的なセッション IDの付加をするかどうかを指定します。デフォルトは、0(無効)です。
注意: PHP 4.1.2より前のバージョンでは、このオプションは --enable-trans-sidによりコンパイル時に有効とされていました。 PHP 4.2.0以降、trans-sid機能は常にコンパイルされます。 URLに基づくセッション管理は、Cookieに基づくセッション管理と比べてセキュリティリスクが大きくなります。例えば、ユーザは、emailにより友人にアクティブなセッションIDを含むURLを送信する可能性があり、また、ユーザは自分のブックマークにセッションIDを含むURLを保存し、常に同じセッションIDで使用するサイトにアクセスする可能性があります。
session.bug_compat_42 boolean: PHP バージョンが 4.2.3 とそれ以前には、たとえ register_globals が無効の場合でもグローバルスコープでセッション変数の初期化を許してしまうドキュメント化されていない特徴/バグがあります。この機能を使用している場合で session.bug_compat_warn も有効にしている場合、 PHP 4.3.0 とそれ以降のバージョンでは警告が発されます。この特徴/バグは、このディレクティブを無効にすることで無効にすることが可能です。
session.bug_compat_warn boolean: PHP バージョンが 4.2.3 とそれ以前には、たとえ register_globals が無効の場合でもグローバルスコープでセッション変数の初期化を許してしまうドキュメント化されていない特徴/バグがあります。この機能を session.bug_compat_42 と session.bug_compat_warn を有効にして使用している場合、 PHP 4.3.0 とそれ以降のバージョンでは警告が発されます。
session.hash_function mixed: session.hash_function によりセッション ID を生成するために使用されるハッシュアルゴリズムを指定することが可能です。 '0' は MD5 (128 ビット) で、'1' は SHA-1 (160 ビット) を意味します。
PHP 5.3.0 以降では、hash 拡張モジュールの任意のアルゴリズムが (この拡張モジュールが使用可能な場合に) 指定できるようになります。たとえば sha512 や whirlpool などです。サポートされているアルゴリズムの一覧は、 hash_algos() 関数で取得できます。

注意:
この設定は PHP 5 で導入されました。
session.hash_bits_per_character integer: session.hash_bits_per_character によりバイナリのハッシュデータを何らかの可読なデータに変換する際、それぞれの文字に何ビットストアさせるかを定義することが可能です。指定可能な値は、'4' (0-9, a-f)、'5' (0-9, a-v) そして '6' (0-9, a-z, A-Z, "-", ",") です。
注意:
このディレクティブは PHP 5 で導入されました。
url_rewriter.tags string: url_rewriter.tagsは、透過的なセッションIDの付加機能が有効となった場合に、セッションIDを含めるために書き換えられるHTMLタグを指定します。デフォルトは、 a=href,area=href,frame=src,input=src,form=fakeentry,fieldset= です。
注意: HTML/XHTML strict に適合させたい場合には form エントリは削除し、 formフィールドの前後に<fieldset> タグを使ってください。

track_varsおよび register_globals 設定はセッション変数の保存および回復方法に影響を与えます。

注意:
PHP 4.0.3以降、track_vars は常にonとなっています。