granicus.if.org Git - apache/blob - docs/manual/mod/mod_session.html.en

   1 <?xml version="1.0" encoding="ISO-8859-1"?>
   2 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
   3 <html xmlns="http://www.w3.org/1999/xhtml" lang="en" xml:lang="en"><head>
   4 <meta content="text/html; charset=ISO-8859-1" http-equiv="Content-Type" />
   5 <!--
   6         XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   7               This file is generated from xml source: DO NOT EDIT
   8         XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   9       -->
  10 <title>mod_session - Apache HTTP Server Version 2.5</title>
  11 <link href="../style/css/manual.css" rel="stylesheet" media="all" type="text/css" title="Main stylesheet" />
  12 <link href="../style/css/manual-loose-100pc.css" rel="alternate stylesheet" media="all" type="text/css" title="No Sidebar - Default font size" />
  13 <link href="../style/css/manual-print.css" rel="stylesheet" media="print" type="text/css" /><link rel="stylesheet" type="text/css" href="../style/css/prettify.css" />
  14 <script src="../style/scripts/prettify.min.js" type="text/javascript">
  15 </script>
  16
  17 <link href="../images/favicon.ico" rel="shortcut icon" /></head>
  18 <body>
  19 <div id="page-header">
  20 <p class="menu"><a href="../mod/">Modules</a> | <a href="../mod/quickreference.html">Directives</a> | <a href="http://wiki.apache.org/httpd/FAQ">FAQ</a> | <a href="../glossary.html">Glossary</a> | <a href="../sitemap.html">Sitemap</a></p>
  21 <p class="apache">Apache HTTP Server Version 2.5</p>
  22 <img alt="" src="../images/feather.gif" /></div>
  23 <div class="up"><a href="./"><img title="&lt;-" alt="&lt;-" src="../images/left.gif" /></a></div>
  24 <div id="path">
  25 <a href="http://www.apache.org/">Apache</a> &gt; <a href="http://httpd.apache.org/">HTTP Server</a> &gt; <a href="http://httpd.apache.org/docs/">Documentation</a> &gt; <a href="../">Version 2.5</a> &gt; <a href="./">Modules</a></div>
  26 <div id="page-content">
  27 <div id="preamble"><h1>Apache Module mod_session</h1>
  28 <div class="toplang">
  29 <p><span>Available Languages: </span><a href="../en/mod/mod_session.html" title="English">&nbsp;en&nbsp;</a></p>
  30 </div>
  31 <table class="module"><tr><th><a href="module-dict.html#Description">Description:</a></th><td>Session support</td></tr>
  32 <tr><th><a href="module-dict.html#Status">Status:</a></th><td>Extension</td></tr>
  33 <tr><th><a href="module-dict.html#ModuleIdentifier">Module Identifier:</a></th><td>session_module</td></tr>
  34 <tr><th><a href="module-dict.html#SourceFile">Source File:</a></th><td>mod_session.c</td></tr>
  35 <tr><th><a href="module-dict.html#Compatibility">Compatibility:</a></th><td>Available in Apache 2.3 and later</td></tr></table>
  36 <h3>Summary</h3>
  37
  38     <div class="warning"><h3>Warning</h3>
  39       <p>The session modules make use of HTTP cookies, and as such can fall
  40       victim to Cross Site Scripting attacks, or expose potentially private
  41       information to clients. Please ensure that the relevant risks have
  42       been taken into account before enabling the session functionality on
  43       your server.</p>
  44     </div>
  45
  46     <p>This module provides support for a server wide per user session
  47     interface. Sessions can be used for keeping track of whether a user
  48     has been logged in, or for other per user information that should
  49     be kept available across requests.</p>
  50
  51     <p>Sessions may be stored on the server, or may be stored on the
  52     browser. Sessions may also be optionally encrypted for added security.
  53     These features are divided into several modules in addition to
  54     <code class="module"><a href="../mod/mod_session.html">mod_session</a></code>; <code class="module"><a href="../mod/mod_session_crypto.html">mod_session_crypto</a></code>,
  55     <code class="module"><a href="../mod/mod_session_cookie.html">mod_session_cookie</a></code> and <code class="module"><a href="../mod/mod_session_dbd.html">mod_session_dbd</a></code>.
  56     Depending on the server requirements, load the appropriate modules
  57     into the server (either statically at compile time or dynamically
  58     via the <code class="directive"><a href="../mod/mod_so.html#loadmodule">LoadModule</a></code> directive).</p>
  59
  60     <p>Sessions may be manipulated from other modules that depend on the
  61     session, or the session may be read from and written to using
  62     environment variables and HTTP headers, as appropriate.</p>
  63
  64 </div>
  65 <div id="quickview"><h3>Topics</h3>
  66 <ul id="topics">
  67 <li><img alt="" src="../images/down.gif" /> <a href="#whatisasession">What is a session?</a></li>
  68 <li><img alt="" src="../images/down.gif" /> <a href="#whocanuseasession">Who can use a session?</a></li>
  69 <li><img alt="" src="../images/down.gif" /> <a href="#serversession">Keeping sessions on the server</a></li>
  70 <li><img alt="" src="../images/down.gif" /> <a href="#browsersession">Keeping sessions on the browser</a></li>
  71 <li><img alt="" src="../images/down.gif" /> <a href="#basicexamples">Basic Examples</a></li>
  72 <li><img alt="" src="../images/down.gif" /> <a href="#sessionprivacy">Session Privacy</a></li>
  73 <li><img alt="" src="../images/down.gif" /> <a href="#cookieprivacy">Cookie Privacy</a></li>
  74 <li><img alt="" src="../images/down.gif" /> <a href="#authentication">Session Support for Authentication</a></li>
  75 <li><img alt="" src="../images/down.gif" /> <a href="#integration">Integrating Sessions with External Applications</a></li>
  76 </ul><h3 class="directives">Directives</h3>
  77 <ul id="toc">
  78 <li><img alt="" src="../images/down.gif" /> <a href="#session">Session</a></li>
  79 <li><img alt="" src="../images/down.gif" /> <a href="#sessionenv">SessionEnv</a></li>
  80 <li><img alt="" src="../images/down.gif" /> <a href="#sessionexclude">SessionExclude</a></li>
  81 <li><img alt="" src="../images/down.gif" /> <a href="#sessionexpiryupdateinterval">SessionExpiryUpdateInterval</a></li>
  82 <li><img alt="" src="../images/down.gif" /> <a href="#sessionheader">SessionHeader</a></li>
  83 <li><img alt="" src="../images/down.gif" /> <a href="#sessioninclude">SessionInclude</a></li>
  84 <li><img alt="" src="../images/down.gif" /> <a href="#sessionmaxage">SessionMaxAge</a></li>
  85 </ul>
  86 <h3>See also</h3>
  87 <ul class="seealso">
  88 <li><code class="module"><a href="../mod/mod_session_cookie.html">mod_session_cookie</a></code></li>
  89 <li><code class="module"><a href="../mod/mod_session_crypto.html">mod_session_crypto</a></code></li>
  90 <li><code class="module"><a href="../mod/mod_session_dbd.html">mod_session_dbd</a></code></li>
  91 </ul><ul class="seealso"><li><a href="#comments_section">Comments</a></li></ul></div>
  92 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
  93 <div class="section">
  94 <h2><a name="whatisasession" id="whatisasession">What is a session?</a></h2>
  95       <p>At the core of the session interface is a table of key and value pairs
  96       that are made accessible across browser requests. These pairs can be set
  97       to any valid string, as needed by the application making use of the
  98       session.</p>
  99
 100       <p>The "session" is a <strong>application/x-www-form-urlencoded</strong>
 101       string containing these key value pairs, as defined by the
 102       <a href="http://www.w3.org/TR/html4/">HTML specification</a>.</p>
 103
 104       <p>The session can optionally be encrypted and base64 encoded before
 105       being written to the storage mechanism, as defined by the
 106       administrator.</p>
 107
 108     </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 109 <div class="section">
 110 <h2><a name="whocanuseasession" id="whocanuseasession">Who can use a session?</a></h2>
 111       <p>The session interface is primarily developed for the use by other
 112       server modules, such as <code class="module"><a href="../mod/mod_auth_form.html">mod_auth_form</a></code>, however CGI
 113       based applications can optionally be granted access to the contents
 114       of the session via the HTTP_SESSION environment variable. Sessions
 115       have the option to be modified and/or updated by inserting an HTTP
 116       response header containing the new session parameters.</p>
 117
 118     </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 119 <div class="section">
 120 <h2><a name="serversession" id="serversession">Keeping sessions on the server</a></h2>
 121       <p>Apache can be configured to keep track of per user sessions stored
 122       on a particular server or group of servers. This functionality is
 123       similar to the sessions available in typical application servers.</p>
 124
 125       <p>If configured, sessions are tracked through the use of a session ID that
 126       is stored inside a cookie, or extracted from the parameters embedded
 127       within the URL query string, as found in a typical GET request.</p>
 128
 129       <p>As the contents of the session are stored exclusively on the server,
 130       there is an expectation of privacy of the contents of the session. This
 131       does have performance and resource implications should a large number
 132       of sessions be present, or where a large number of webservers have to
 133       share sessions with one another.</p>
 134
 135       <p>The <code class="module"><a href="../mod/mod_session_dbd.html">mod_session_dbd</a></code> module allows the storage of user
 136       sessions within a SQL database via <code class="module"><a href="../mod/mod_dbd.html">mod_dbd</a></code>.</p>
 137
 138     </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 139 <div class="section">
 140 <h2><a name="browsersession" id="browsersession">Keeping sessions on the browser</a></h2>
 141       <p>In high traffic environments where keeping track of a session on a
 142       server is too resource intensive or inconvenient, the option exists to store
 143       the contents of the session within a cookie on the client browser instead.</p>
 144
 145       <p>This has the advantage that minimal resources are required on the
 146       server to keep track of sessions, and multiple servers within a server
 147       farm have no need to share session information.</p>
 148
 149       <p>The contents of the session however are exposed to the client, with a
 150       corresponding risk of a loss of privacy. The
 151       <code class="module"><a href="../mod/mod_session_crypto.html">mod_session_crypto</a></code> module can be configured to encrypt the
 152       contents of the session before writing the session to the client.</p>
 153
 154       <p>The <code class="module"><a href="../mod/mod_session_cookie.html">mod_session_cookie</a></code> allows the storage of user
 155       sessions on the browser within an HTTP cookie.</p>
 156
 157     </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 158 <div class="section">
 159 <h2><a name="basicexamples" id="basicexamples">Basic Examples</a></h2>
 160
 161       <p>Creating a session is as simple as turning the session on, and deciding
 162       where the session will be stored. In this example, the session will be
 163       stored on the browser, in a cookie called <code>session</code>.</p>
 164
 165       <div class="example"><h3>Browser based session</h3><pre class="prettyprint lang-config">Session On
 166 SessionCookieName session path=/</pre>
 167 </div>
 168
 169       <p>The session is not useful unless it can be written to or read from. The
 170       following example shows how values can be injected into the session through
 171       the use of a predetermined HTTP response header called
 172       <code>X-Replace-Session</code>.</p>
 173
 174       <div class="example"><h3>Writing to a session</h3><pre class="prettyprint lang-config">Session On
 175 SessionCookieName session path=/
 176 SessionHeader X-Replace-Session</pre>
 177 </div>
 178
 179       <p>The header should contain name value pairs expressed in the same format
 180       as a query string in a URL, as in the example below. Setting a key to the
 181       empty string has the effect of removing that key from the session.</p>
 182
 183       <div class="example"><h3>CGI to write to a session</h3><pre class="prettyprint lang-sh">#!/bin/bash
 184 echo "Content-Type: text/plain"
 185 echo "X-Replace-Session: key1=foo&amp;key2=&amp;key3=bar"
 186 echo
 187 env</pre>
 188 </div>
 189
 190       <p>If configured, the session can be read back from the HTTP_SESSION
 191       environment variable. By default, the session is kept private, so this
 192       has to be explicitly turned on with the
 193       <code class="directive"><a href="#sessionenv">SessionEnv</a></code> directive.</p>
 194
 195       <div class="example"><h3>Read from a session</h3><pre class="prettyprint lang-config">Session On
 196 SessionEnv On
 197 SessionCookieName session path=/
 198 SessionHeader X-Replace-Session</pre>
 199 </div>
 200
 201       <p>Once read, the CGI variable <code>HTTP_SESSION</code> should contain
 202       the value <code>key1=foo&amp;key3=bar</code>.</p>
 203
 204     </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 205 <div class="section">
 206 <h2><a name="sessionprivacy" id="sessionprivacy">Session Privacy</a></h2>
 207
 208       <p>Using the "show cookies" feature of your browser, you would have seen
 209       a clear text representation of the session. This could potentially be a
 210       problem should the end user need to be kept unaware of the contents of
 211       the session, or where a third party could gain unauthorised access to the
 212       data within the session.</p>
 213
 214       <p>The contents of the session can be optionally encrypted before being
 215       placed on the browser using the <code class="module"><a href="../mod/mod_session_crypto.html">mod_session_crypto</a></code>
 216       module.</p>
 217
 218       <div class="example"><h3>Browser based encrypted session</h3><pre class="prettyprint lang-config">Session On
 219 SessionCryptoPassphrase secret
 220 SessionCookieName session path=/</pre>
 221 </div>
 222
 223       <p>The session will be automatically decrypted on load, and encrypted on
 224       save by Apache, the underlying application using the session need have
 225       no knowledge that encryption is taking place.</p>
 226
 227       <p>Sessions stored on the server rather than on the browser can also be
 228       encrypted as needed, offering privacy where potentially sensitive
 229       information is being shared between webservers in a server farm using
 230       the <code class="module"><a href="../mod/mod_session_dbd.html">mod_session_dbd</a></code> module.</p>
 231
 232     </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 233 <div class="section">
 234 <h2><a name="cookieprivacy" id="cookieprivacy">Cookie Privacy</a></h2>
 235
 236       <p>The HTTP cookie mechanism also offers privacy features, such as the
 237       ability to restrict cookie transport to SSL protected pages only, or
 238       to prevent browser based javascript from gaining access to the contents
 239       of the cookie.</p>
 240
 241       <div class="warning"><h3>Warning</h3>
 242       <p>Some of the HTTP cookie privacy features are either non-standard, or
 243       are not implemented consistently across browsers. The session modules
 244       allow you to set cookie parameters, but it makes no guarantee that privacy
 245       will be respected by the browser. If security is a concern, use the
 246       <code class="module"><a href="../mod/mod_session_crypto.html">mod_session_crypto</a></code> to encrypt the contents of the session,
 247       or store the session on the server using the <code class="module"><a href="../mod/mod_session_dbd.html">mod_session_dbd</a></code>
 248       module.</p>
 249       </div>
 250
 251       <p>Standard cookie parameters can be specified after the name of the cookie,
 252       as in the example below.</p>
 253
 254       <div class="example"><h3>Setting cookie parameters</h3><pre class="prettyprint lang-config">Session On
 255 SessionCryptoPassphrase secret
 256 SessionCookieName session path=/private;domain=example.com;httponly;secure;</pre>
 257 </div>
 258
 259       <p>In cases where the Apache server forms the frontend for backend origin servers,
 260       it is possible to have the session cookies removed from the incoming HTTP headers using
 261       the <code class="directive"><a href="../mod/mod_session_cookie.html#sessioncookieremove">SessionCookieRemove</a></code> directive.
 262       This keeps the contents of the session cookies from becoming accessible from the
 263       backend server.
 264       </p>
 265
 266     </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 267 <div class="section">
 268 <h2><a name="authentication" id="authentication">Session Support for Authentication</a></h2>
 269
 270       <p>As is possible within many application servers, authentication modules can use
 271       a session for storing the username and password after login. The
 272       <code class="module"><a href="../mod/mod_auth_form.html">mod_auth_form</a></code> saves the user's login name and password within
 273       the session.</p>
 274
 275       <div class="example"><h3>Form based authentication</h3><pre class="prettyprint lang-config">Session On
 276 SessionCryptoPassphrase secret
 277 SessionCookieName session path=/
 278 AuthFormProvider file
 279 AuthUserFile "conf/passwd"
 280 AuthType form
 281 AuthName "realm"
 282 #...</pre>
 283 </div>
 284
 285       <p>See the <code class="module"><a href="../mod/mod_auth_form.html">mod_auth_form</a></code> module for documentation and complete
 286       examples.</p>
 287
 288     </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 289 <div class="section">
 290 <h2><a name="integration" id="integration">Integrating Sessions with External Applications</a></h2>
 291
 292       <p>In order for sessions to be useful, it must be possible to share the contents
 293       of a session with external applications, and it must be possible for an
 294       external application to write a session of its own.</p>
 295
 296       <p> A typical example might be an application that changes a user's password set by
 297       <code class="module"><a href="../mod/mod_auth_form.html">mod_auth_form</a></code>. This application would need to read the current
 298       username and password from the session, make the required changes to the user's
 299       password, and then write the new password to the session in order to provide a
 300       seamless transition to the new password.</p>
 301
 302       <p>A second example might involve an application that registers a new user for
 303       the first time. When registration is complete, the username and password is
 304       written to the session, providing a seamless transition to being logged in.</p>
 305
 306       <dl>
 307       <dt>Apache modules</dt>
 308       <dd>Modules within the server that need access to the session can use the
 309       <strong>mod_session.h</strong> API in order to read from and write to the
 310       session. This mechanism is used by modules like <code class="module"><a href="../mod/mod_auth_form.html">mod_auth_form</a></code>.
 311       </dd>
 312
 313       <dt>CGI programs and scripting languages</dt>
 314       <dd>Applications that run within the webserver can optionally retrieve the
 315       value of the session from the <strong>HTTP_SESSION</strong> environment
 316       variable. The session should be encoded as a
 317       <strong>application/x-www-form-urlencoded</strong> string as described by the
 318       <a href="http://www.w3.org/TR/html4/">HTML specification</a>. The environment
 319       variable is controlled by the setting of the
 320       <code class="directive"><a href="#sessionenv">SessionEnv</a></code> directive. The session
 321       can be written to by the script by returning a
 322       <strong>application/x-www-form-urlencoded</strong> response header with a name
 323       set by the <code class="directive"><a href="#sessionheader">SessionHeader</a></code>
 324       directive. In both cases, any encryption or decryption, and the reading the
 325       session from or writing the session to the chosen storage mechanism is handled
 326       by the <code class="module"><a href="../mod/mod_session.html">mod_session</a></code> modules and corresponding configuration.
 327       </dd>
 328
 329       <dt>Applications behind <code class="module"><a href="../mod/mod_proxy.html">mod_proxy</a></code></dt>
 330       <dd>If the <code class="directive"><a href="#sessionheader">SessionHeader</a></code>
 331       directive is used to define an HTTP request header, the session, encoded as
 332       a <strong>application/x-www-form-urlencoded</strong> string, will be made
 333       available to the application. If the same header is provided in the response,
 334       the value of this response header will be used to replace the session. As
 335       above, any encryption or decryption, and the reading the session from or
 336       writing the session to the chosen storage mechanism is handled by the
 337       <code class="module"><a href="../mod/mod_session.html">mod_session</a></code> modules and corresponding configuration.</dd>
 338
 339       <dt>Standalone applications</dt>
 340       <dd>Applications might choose to manipulate the session outside the control
 341       of the Apache HTTP server. In this case, it is the responsibility of the
 342       application to read the session from the chosen storage mechanism,
 343       decrypt the session, update the session, encrypt the session and write
 344       the session to the chosen storage mechanism, as appropriate.</dd>
 345       </dl>
 346
 347     </div>
 348 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 349 <div class="directive-section"><h2><a name="Session" id="Session">Session</a> <a name="session" id="session">Directive</a></h2>
 350 <table class="directive">
 351 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Enables a session for the current directory or location</td></tr>
 352 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>Session On|Off</code></td></tr>
 353 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>Session Off</code></td></tr>
 354 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, directory, .htaccess</td></tr>
 355 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
 356 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 357 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_session</td></tr>
 358 </table>
 359     <p>The <code class="directive">Session</code> directive enables a session for the
 360     directory or location container. Further directives control where the
 361     session will be stored and how privacy is maintained.</p>
 362
 363 </div>
 364 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 365 <div class="directive-section"><h2><a name="SessionEnv" id="SessionEnv">SessionEnv</a> <a name="sessionenv" id="sessionenv">Directive</a></h2>
 366 <table class="directive">
 367 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Control whether the contents of the session are written to the
 368 <var>HTTP_SESSION</var> environment variable</td></tr>
 369 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SessionEnv On|Off</code></td></tr>
 370 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SessionEnv Off</code></td></tr>
 371 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, directory, .htaccess</td></tr>
 372 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
 373 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 374 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_session</td></tr>
 375 </table>
 376     <p>If set to <var>On</var>, the <code class="directive">SessionEnv</code> directive
 377     causes the contents of the session to be written to a CGI environment
 378     variable called <var>HTTP_SESSION</var>.</p>
 379
 380     <p>The string is written in the URL query format, for example:</p>
 381
 382     <div class="example"><p><code>
 383       <code>key1=foo&amp;key3=bar</code>
 384     </code></p></div>
 385
 386
 387 </div>
 388 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 389 <div class="directive-section"><h2><a name="SessionExclude" id="SessionExclude">SessionExclude</a> <a name="sessionexclude" id="sessionexclude">Directive</a></h2>
 390 <table class="directive">
 391 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Define URL prefixes for which a session is ignored</td></tr>
 392 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SessionExclude <var>path</var></code></td></tr>
 393 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>none</code></td></tr>
 394 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, directory, .htaccess</td></tr>
 395 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 396 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_session</td></tr>
 397 </table>
 398     <p>The <code class="directive">SessionExclude</code> directive allows sessions to
 399     be disabled relative to URL prefixes only. This can be used to make a
 400     website more efficient, by targeting a more precise URL space for which
 401     a session should be maintained. By default, all URLs within the directory
 402     or location are included in the session. The
 403     <code class="directive"><a href="#sessionexclude">SessionExclude</a></code> directive takes
 404     precedence over the
 405     <code class="directive"><a href="#sessioninclude">SessionInclude</a></code> directive.</p>
 406
 407     <div class="warning"><h3>Warning</h3>
 408     <p>This directive has a similar purpose to the <var>path</var> attribute
 409     in HTTP cookies, but should not be confused with this attribute. This
 410     directive does not set the <var>path</var> attribute, which must be
 411     configured separately.</p></div>
 412
 413 </div>
 414 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 415 <div class="directive-section"><h2><a name="SessionExpiryUpdateInterval" id="SessionExpiryUpdateInterval">SessionExpiryUpdateInterval</a> <a name="sessionexpiryupdateinterval" id="sessionexpiryupdateinterval">Directive</a></h2>
 416 <table class="directive">
 417 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Define the number of seconds a session's expiry may change without
 418 the session being updated</td></tr>
 419 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SessionExpiryUpdateInterval <var>interval</var></code></td></tr>
 420 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SessionExpiryUpdateInterval 0 (always update)</code></td></tr>
 421 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, directory, .htaccess</td></tr>
 422 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 423 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_session</td></tr>
 424 </table>
 425     <p>The <code class="directive">SessionExpiryUpdateInterval</code> directive allows
 426     sessions to avoid the cost associated with writing the session each request
 427     when only the expiry time has changed. This can be used to make a website
 428     more efficient or reduce load on a database when using
 429     <code class="module"><a href="../mod/mod_session_dbd.html">mod_session_dbd</a></code>. The session is always written if the data
 430     stored in the session has changed or the expiry has changed by more than the
 431     configured interval.</p>
 432
 433     <p>Setting the interval to zero disables this directive, and the session
 434     expiry is refreshed for each request.</p>
 435
 436     <p>This directive only has an effect when combined with
 437     <code class="directive"><a href="#sessionmaxage">SessionMaxAge</a></code> to enable session
 438     expiry. Sessions without an expiry are only written when the data stored in
 439     the session has changed.</p>
 440
 441     <div class="warning"><h3>Warning</h3>
 442     <p>Because the session expiry may not be refreshed with each request, it's
 443     possible for sessions to expire up to <var>interval</var> seconds early.
 444     Using a small interval usually provides sufficient savings while having a
 445     minimal effect on expiry resolution.</p></div>
 446
 447 </div>
 448 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 449 <div class="directive-section"><h2><a name="SessionHeader" id="SessionHeader">SessionHeader</a> <a name="sessionheader" id="sessionheader">Directive</a></h2>
 450 <table class="directive">
 451 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Import session updates from a given HTTP response header</td></tr>
 452 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SessionHeader <var>header</var></code></td></tr>
 453 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>none</code></td></tr>
 454 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, directory, .htaccess</td></tr>
 455 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
 456 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 457 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_session</td></tr>
 458 </table>
 459     <p>The <code class="directive">SessionHeader</code> directive defines the name of an
 460     HTTP response header which, if present, will be parsed and written to the
 461     current session.</p>
 462
 463     <p>The header value is expected to be in the URL query format, for example:</p>
 464
 465     <div class="example"><p><code>
 466       <code>key1=foo&amp;key2=&amp;key3=bar</code>
 467     </code></p></div>
 468
 469     <p>Where a key is set to the empty string, that key will be removed from the
 470     session.</p>
 471
 472
 473 </div>
 474 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 475 <div class="directive-section"><h2><a name="SessionInclude" id="SessionInclude">SessionInclude</a> <a name="sessioninclude" id="sessioninclude">Directive</a></h2>
 476 <table class="directive">
 477 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Define URL prefixes for which a session is valid</td></tr>
 478 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SessionInclude <var>path</var></code></td></tr>
 479 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>all URLs</code></td></tr>
 480 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, directory, .htaccess</td></tr>
 481 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
 482 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 483 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_session</td></tr>
 484 </table>
 485     <p>The <code class="directive">SessionInclude</code> directive allows sessions to
 486     be made valid for specific URL prefixes only. This can be used to make a
 487     website more efficient, by targeting a more precise URL space for which
 488     a session should be maintained. By default, all URLs within the directory
 489     or location are included in the session.</p>
 490
 491     <div class="warning"><h3>Warning</h3>
 492     <p>This directive has a similar purpose to the <var>path</var> attribute
 493     in HTTP cookies, but should not be confused with this attribute. This
 494     directive does not set the <var>path</var> attribute, which must be
 495     configured separately.</p></div>
 496
 497 </div>
 498 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 499 <div class="directive-section"><h2><a name="SessionMaxAge" id="SessionMaxAge">SessionMaxAge</a> <a name="sessionmaxage" id="sessionmaxage">Directive</a></h2>
 500 <table class="directive">
 501 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Define a maximum age in seconds for a session</td></tr>
 502 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SessionMaxAge <var>maxage</var></code></td></tr>
 503 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SessionMaxAge 0</code></td></tr>
 504 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, directory, .htaccess</td></tr>
 505 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
 506 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 507 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_session</td></tr>
 508 </table>
 509     <p>The <code class="directive">SessionMaxAge</code> directive defines a time limit
 510     for which a session will remain valid. When a session is saved, this time
 511     limit is reset and an existing session can be continued. If a session
 512     becomes older than this limit without a request to the server to refresh
 513     the session, the session will time out and be removed. Where a session is
 514     used to stored user login details, this has the effect of logging the user
 515     out automatically after the given time.</p>
 516
 517     <p>Setting the maxage to zero disables session expiry.</p>
 518
 519 </div>
 520 </div>
 521 <div class="bottomlang">
 522 <p><span>Available Languages: </span><a href="../en/mod/mod_session.html" title="English">&nbsp;en&nbsp;</a></p>
 523 </div><div class="top"><a href="#page-header"><img src="../images/up.gif" alt="top" /></a></div><div class="section"><h2><a id="comments_section" name="comments_section">Comments</a></h2><div class="warning"><strong>Notice:</strong><br />This is not a Q&amp;A section. Comments placed here should be pointed towards suggestions on improving the documentation or server, and may be removed again by our moderators if they are either implemented or considered invalid/off-topic. Questions on how to manage the Apache HTTP Server should be directed at either our IRC channel, #httpd, on Freenode, or sent to our <a href="http://httpd.apache.org/lists.html">mailing lists</a>.</div>
 524 <script type="text/javascript"><!--//--><![CDATA[//><!--
 525 var comments_shortname = 'httpd';
 526 var comments_identifier = 'http://httpd.apache.org/docs/trunk/mod/mod_session.html';
 527 (function(w, d) {
 528     if (w.location.hostname.toLowerCase() == "httpd.apache.org") {
 529         d.write('<div id="comments_thread"><\/div>');
 530         var s = d.createElement('script');
 531         s.type = 'text/javascript';
 532         s.async = true;
 533         s.src = 'https://comments.apache.org/show_comments.lua?site=' + comments_shortname + '&page=' + comments_identifier;
 534         (d.getElementsByTagName('head')[0] || d.getElementsByTagName('body')[0]).appendChild(s);
 535     }
 536     else {
 537         d.write('<div id="comments_thread">Comments are disabled for this page at the moment.<\/div>');
 538     }
 539 })(window, document);
 540 //--><!]]></script></div><div id="footer">
 541 <p class="apache">Copyright 2015 The Apache Software Foundation.<br />Licensed under the <a href="http://www.apache.org/licenses/LICENSE-2.0">Apache License, Version 2.0</a>.</p>
 542 <p class="menu"><a href="../mod/">Modules</a> | <a href="../mod/quickreference.html">Directives</a> | <a href="http://wiki.apache.org/httpd/FAQ">FAQ</a> | <a href="../glossary.html">Glossary</a> | <a href="../sitemap.html">Sitemap</a></p></div><script type="text/javascript"><!--//--><![CDATA[//><!--
 543 if (typeof(prettyPrint) !== 'undefined') {
 544     prettyPrint();
 545 }
 546 //--><!]]></script>
 547 </body></html>