yii2 session and cookie login and logout

简介

yii2的自动登录的原理很简单。主要就是利用cookie来实现的，在第一次登录的时候，如果登录成功并且选中了下次自动登录，那么就会把用户的认证信息保存到cookie中，cookie的有效期为1年或者几个月。在下次登录的时候先判断cookie中是否存储了用户的信息，如果有则用cookie中存储的用户信息来登录。

配置

首先在打开yii2配置文件的components中设置user组件

'user' => [
    'identityClass' => 'app\models\User',
    'enableAutoLogin' => true,
],

只有在enableAutoLogin为true的情况下，如果选择了下次自动登录，那么就会把用户信息存储起来放到cookie中并设置cookie的有效期为36002430秒，以用于下次登录

解析

一、第一次登录存cookie

1、login 登录功能

public function login($identity, $duration = 0)
{
    if ($this->beforeLogin($identity, false, $duration)) {
        $this->switchIdentity($identity, $duration);
        $id = $identity->getId();
        $ip = Yii::$app->getRequest()->getUserIP();
        Yii::info("User '$id' logged in from $ip with duration $duration.", __METHOD__);
        $this->afterLogin($identity, false, $duration);
    }
    return !$this->getIsGuest();
}

2、switchIdentity设置认证信息

public function switchIdentity($identity, $duration = 0)
{
    $session = Yii::$app->getSession();
    if (!YII_ENV_TEST) {
        $session->regenerateID(true);
    }
    $this->setIdentity($identity);
    $session->remove($this->idParam);
    $session->remove($this->authTimeoutParam);
    if ($identity instanceof IdentityInterface) {
        $session->set($this->idParam, $identity->getId());
        if ($this->authTimeout !== null) {
            $session->set($this->authTimeoutParam, time() + $this->authTimeout);
        }
        if ($duration > 0 && $this->enableAutoLogin) {
            $this->sendIdentityCookie($identity, $duration);
        }
    } elseif ($this->enableAutoLogin) {
        Yii::$app->getResponse()->getCookies()->remove(new Cookie($this->identityCookie));
    }
}

这个方法比较重要，在退出的时候也需要调用这个方法。
这个方法主要有三个功能
1.设置session的有效期
2.如果cookie的有效期大于0并且允许自动登录，那么就把用户的认证信息保存到cookie中
3.如果允许自动登录，删除cookie信息。这个是用于退出的时候调用的。退出的时候传递进来的$identity为null

protected function sendIdentityCookie($identity, $duration)
{
    $cookie = new Cookie($this->identityCookie);
    $cookie->value = json_encode([
        $identity->getId(),
        $identity->getAuthKey(),
        $duration,
    ]);
    $cookie->expire = time() + $duration;
    Yii::$app->getResponse()->getCookies()->add($cookie);
}

存储在cookie中的用户信息包含有三个值：
$identity->getId()
$identity->getAuthKey()
$duration
getId()和getAuthKey()是在IdentityInterface接口中的。我们也知道在设置User组件的时候，这个User Model是必须要实现IdentityInterface接口的。所以，可以在User Model中得到前两个值，第三值就是cookie的有效期。

二、自动从cookie登录

用户的认证信息已经存储到cookie中,每次访问的时候直接从cookie里面获取用户的信息
yii2提供了两种用户 游客 认证用户，使用isGuest来判断

public function getIsGuest($checkSession = true)
{
    return $this->getIdentity($checkSession) === null;
}
public function getIdentity($checkSession = true)
{
    if ($this->_identity === false) {
        if ($checkSession) {
            $this->renewAuthStatus();
        } else {
            return null;
        }
    }
    return $this->_identity;
}

Yii提供了AccessControl来判断用户是否登录，有了这个就不需要在每一个action里面再判断了

public function behaviors()
    {
        return [
            'access' => [
                'class' => 'yii\filters\AccessControl',
                'rules' => [
                    [
                        'allow' => true,
                        'actions' => ['login', 'signup'],
                        'roles' => ['?'],
                    ],
                    [
                        'allow' => true,
                        'roles' => ['@'],
                    ],
                ],
                'denyCallback' => function($rule, $action) {
                    BaseController::denyCallback($rule, $action);
                }
            ]
        ];
    }

以上ACF代码是作为行为(behavior)附加在了site控制器上面。这是使用动作过滤器的典型方式。

only选项指定了这个ACF只应用在login,logout和signup动作上面。rules选项指定了访问规则：
允许所有游客(guest，未认证用户)访问login和signup动作(action)，roles选项是一个问号(?)，代表的就是游客(guests)。
允许经过认证的用户访问logout动作，字符@就是指已认证的用户。
当ACF执行鉴权检查的时候，它将从上到下依次检查每条规则(rules)，直到找到匹配。allow的值会在最终判断鉴权的时候使用。
假如没有任何规则匹配，那么ACF会终止用户的进一步操作。
默认的，当一个没有通过鉴权的用户访问当前动作(action)时，ACF会这样做：
假如是一个游客，它会调用yii\web\User::loginRequired()方法，重定向浏览器到登录页面。
假如是一个已认证用户，它会抛出一个权限错误的异常yii\web\ForbiddenHttpException。

如果你要自定义ACF的这些默认行为，可以通过配置yii\filters\AccessControl::$denyCallback属性来达到目的：
访问规则支持很多选项，下面是一些简要说明，你也可以通过扩展yii\filters\AccessRule来创建你自己的访问规则类：

allow:指定这是一条允许(allow)还是拒绝(deny)规则。
actions:这条规则匹配那些动作(action)。是一个动作ID的数组，区分大小写，假如这个选项设置为空或者不设置，那么这条规则适用于所有动作(action)。
controllers:指定这条规则适用于那些控制器(controller)。值是控制器ID数组，区分大小写，设置为空或者不设置，意味着适用于所有控制器(controller)。
roles:指定这条规则适用于那些用户角色。有两个认可的特殊角色，都是通过yii\web\User::$isGuest来检查。?：匹配游客（未认证用户），@：匹配已认证的用户，未设置或设为空，则匹配所有角色。
ips:匹配那些客户端IP。ip地址可以使用通配符()，比如：192.168.。为设置或设为空则匹配所有IP。
verbs：匹配那些请求方式(如：GET,POST)。区分大小写。
matchCallback:指定一个PHP回调，以确定应用该规则。
denyCallback:PHP回调，当规则禁止访问的时候会被调用。

总结

用户登陆的时候有没有点击‘记住用户’，区别是是否将用户的认证信息保存在cookie中。问题：如果用户没有点击‘记住登陆’，那么登陆后浏览器是通过什么判断当前的登陆用户的；答：session·。通过这个认证信息，关闭浏览器后，再进入，可以通过这个认证直接获取用户信息。
服务器将用户的信息保存到session，当浏览器再次来请求的时候，浏览器会把（gr_session_id_a9c381bb3f63a3f3）带过来，和服务器端的session_id对比，来判别登陆用户。