session.serialize_handler = "php"
用来序列化/解序列化数据的处理器，php是标准序列化/解序列化处理器。
另外还可以使用"php_binary"。当启用了WDDX支持以后，将只能使用"wddx"。
session.gc_probability = 1
session.gc_divisor = 100
定义在每次初始化会话时，启动垃圾回收程序的概率。
这个收集概率计算公式如下：session.gc_probability/session.gc_divisor
对会话页面访问越频繁，概率就应当越小。建议值为1/1000~5000。
session.gc_maxlifetime = 1440
超过此参数所指的秒数后，保存的数据将被视为'垃圾'并由垃圾回收程序清理。
判断标准是最后访问数据的时间(对于FAT文件系统是最后刷新数据的时间)。
如果多个脚本共享同一个session.save_path目录但session.gc_maxlifetime不同，
那么将以所有session.gc_maxlifetime指令中的最小值为准。
如果使用多层子目录来存储数据文件，垃圾回收程序不会自动启动。
你必须使用一个你自己编写的shell脚本、cron项或者其他办法来执行垃圾搜集。
比如，下面的脚本相当于设置了"session.gc_maxlifetime=1440" (24分钟)：
cd /path/to/sessions find -cmin +24 | xargs rm
session.referer_check =
如果请求头中的"Referer"字段不包含此处指定的字符串则会话ID将被视为无效。
注意：如果请求头中根本不存在"Referer"字段的话，会话ID将仍将被视为有效。
默认为空，即不做检查(全部视为有效)。
session.entropy_file = "/dev/urandom"
附加的用于创建会话ID的外部高熵值资源(文件)，
例如UNIX系统上的"/dev/random"或"/dev/urandom"
session.entropy_length = 0
从高熵值资源中读取的字节数(建议值：16)。
session.use_cookies = On
是否使用cookie在客户端保存会话ID
session.use_only_cookies = Off
是否仅仅使用cookie在客户端保存会话ID
打开这个选项可以避免使用URL传递会话带来的安全问题。
但是禁用Cookie的客户端将使会话无法工作。
session.cookie_lifetime = 0
传递会话ID的Cookie有效期(秒)，0 表示仅在浏览器打开期间有效。
session.cookie_path = "https://www.jb51.net/"
传递会话ID的Cookie作用路径。
session.cookie_domain =
传递会话ID的Cookie作用域。
默认为空表示表示根据cookie规范生成的主机名。
session.cookie_secure = Off
是否仅仅通过安全连接(https)发送cookie。
session.cookie_httponly = Off
是否在cookie中添加httpOnly标志(仅允许HTTP协议访问)，
这将导致客户端脚本(JavaScript等)无法访问该cookie。
打开该指令可以有效预防通过XSS攻击劫持会话ID。
session.cache_limiter = "nocache"
设为{nocache|private|public}以指定会话页面的缓存控制模式，
或者设为空以阻止在http应答头中发送禁用缓存的命令。
session.cache_expire = 180
指定会话页面在客户端cache中的有效期限(分钟)
session.cache_limiter=nocache时，此处设置无效。
session.use_trans_sid = Off
是否使用明码在URL中显示SID(会话ID)。
默认是禁止的，因为它会给你的用户带来安全危险：
1- 用户可能将包含有效sid的URL通过email/irc/QQ/MSN…途径告诉给其他人。
2- 包含有效sid的URL可能会被保存在公用电脑上。
3- 用户可能保存带有固定不变sid的URL在他们的收藏夹或者浏览历史纪录里面。
基于URL的会话管理总是比基于Cookie的会话管理有更多的风险，所以应当禁用。
session.bug_compat_42 = On
session.bug_compat_warn = On
PHP4.2之前的版本有一个未注明的"BUG"：
即使在register_globals=Off的情况下也允许初始化全局session变量，
如果你在PHP4.3之后的版本中使用这个特性，会显示一条警告。
建议关闭该"BUG"并显示警告。
session.hash_function = 0
生成SID的散列算法。SHA-1的安全性更高一些
0: MD5 (128 bits)
1: SHA-1 (160 bits)
建议使用SHA-1。
session.hash_bits_per_character = 4
指定在SID字符串中的每个字符内保存多少bit，
这些二进制数是hash函数的运算结果。
4: 0-9, a-f
5: 0-9, a-v
6: 0-9, a-z, A-Z, "-", ","
建议值为 5
url_rewriter.tags = "a=href,area=href,frame=src,form=,fieldset="
此指令属于PHP核心部分，并不属于Session模块。
指定重写哪些HTML标签来包含SID(仅当session.use_trans_sid=On时有效)
form和fieldset比较特殊：
如果你包含他们，URL重写器将添加一个隐藏的"<input>"，它包含了本应当额外追加到URL上的信息。
如果要符合XHTML标准，请去掉form项并在表单字段前后加上<fieldset>标记。
注意：所有合法的项都需要一个等号(即使后面没有值)。
推荐值为"a=href,area=href,frame=src,input=src,form=fakeentry"。
您可能感兴趣的文章: