session是什么：
session即会话，是一种持续性，双向的连接。
session和cookie在本质上没什么区别，都是针对http协议的局限性提出的一种保持客户端和服务端会话状态的机制。
session的实现
1.cookie : 通过在cookie中存储sessionID
2.url重写：index.php?PHPSESID=01aab840166fd1dc253e3b4a3f0b8381
(通过session.use_cookies来控制使用哪一种方式)
session的工作原理：
sessionID实际上在客户端和服务器端是通过HTTP Request(发送cookie)和HTTP Response(设置cookie)传来传去。
sessionID通过一定的算法生成，保证唯一性和随机性，以确保session安全。
当sessionID销毁后，重新请求该页面，会重新注册一个sessionID,所以同一个浏览器和同一个服务器之间sessionID也是随机的。
session的保存：
默认文件的形式保存在服务器的/tmp下，文件名类似：sess_01aab840166fd1dc253e3b4a3f0b8381，后边是随机32位编码字符串。
格式：变量名|类型:长度:值，例如username|s:3:"lee";last_date|s:10:"2015-01-02";
session的使用：
session_start()必须在程序最开始执行，前边不能有任何输出，否则出现以下警告：
Warning:Cannot send session cookie - headers already send
解决：
办法1：在php.ini中修改session.auto_start = 1，自动开始，不需要session_start()
办法2(在不确定前边是否有输出的时候)：
ob_start(); //开启output_buffering session_start(); $_SESSION["user"]="username"; ob_end_flush();
session的回收：
在php.ini中设置session.gc_maxlifetime，session的最大生存时间。
session的回收是通过检查/tmp/sess_xxx文件的最后修改时间和当前时间的差值。
如果”最后的修改时间”到”现在”超过了gc_maxlifetime（默认是1440）秒，这个session文件就被认为是过期了，在下一次session回收的时候，如果这个文件仍然没有被更
过，这个session文件就会被删除（session就过期了）。
默认情况下，每一次php请求，就会有1/100的概率发生回收，所以可能简单的理解为“每100次php请求就有一次回收发生”。这个概率是通过以下参数控制的
//概率是gc_probability/gc_divisor session.gc_probability = 1 //通过调大这个参数提高回收率，但太大了会增加负载 session.gc_divisor = 100
注意1：
假设这种情况gc_maxlifetime=120，如果某个session文件最后修改时间是120秒之前，那么在下一次回收（1/100的概率）发生前，这个session仍然是有效的。
保证精确的session删除时间方法：在session中记录最后登录时间，每次访问都判断是否超过时间，超过就退出，否则更新最后登录时间。
（这是面试时问题：怎样能保证session在20分钟过期？因为本身的gc回收是有一定概率的）
注 意2：
如果你的session使用session.save_path中使用别的地方保存session，session回收机制有可能不会自动处理过期 session文件。这时需要定时手动（或者crontab）删除过期的session
cd /path/to/sessions; find -cmin +24 | xargs rm
原文：http://www.cnblogs.com/leezhxing/p/4338549.html