PHP'de, kullanıcının aktif olup olmadığını kontrol etmek için oturumlar tutulur. Kullanıcı etkin olmadığında ve kullanıcı web sayfasından çıkış yapmayı unuttuğunda, diğer kullanıcıların sayfayı görüntülemesi güvenlik ihlaline neden olabilir. Varsayılan olarak, tarayıcı kapatıldığında PHP'deki bir oturum yok edilir. Oturum zaman aşımı, kullanıcının sayfasını belirli bir süre sonra devre dışı bırakmak için özelleştirilebilir. 

Oturum başlatma: PHP, session_start() işlevi, web sayfasında bir oturum başlatmak için kullanılır.

session_start();

Oturum değişkenleri: Oturumun başlamasından sonra, ileride kullanılmak üzere oturum değişkenleri oluşturulabilir. Aşağıdaki gibi oturum değişkenleri oluşturulabilir ve değerler bu değişkenlerde saklanabilir:

• Değişken adı 'var1' olan oturum değişkeni oluşturmak ve ona '5' değerini atamak şu şekilde yapılabilir: 
   

$_OTURUM['var1']=5;

• Bir oturum değişkenine değişken atama şu şekilde yapılabilir: 
   

$username="Kaan";
$_SESSION['username']=$username;

Oturum değişkenlerini ve oturumu yok etme: Oturumu yok etmeden önce başlatılan tüm oturum değişkenlerini kaldırmak için aşağıdaki komut kullanılmalıdır:

• Belirli bir oturumu yok etmek için aşağıdaki komut kullanılmalıdır: 
   

session_unset();

• Tüm oturumu yok etmek için aşağıdaki komut kullanılmalıdır: 

session_destroy();

Oturum zaman aşımını değiştirme: Bir HTML formunda 'Giriş' düğmesinin bulunduğu bir giriş sayfası olduğu düşünülürse. Kullanıcı 'Giriş' düğmesine tıkladığında oturum başlar ve oturum değişkenleri ayarlanır. Oturum açma zamanını saklamak için bir oturum değişkeni başlatılır. Daha sonra kullanıcının ana sayfasına yönlendirilir. 

<?php
// Session starts
session_start();
$username = $_POST["username"];
if(isset($_POST["Login"])) {
    // Session Variables are created
    $_SESSION["user"] = $username;  
    // Login time is stored in a session variable
    $_SESSION["login_time_stamp"] = time(); 
    header("Location:homepage.php");
}
?>

Ana sayfada, oturumu sürdürmek için session_start () işlevi çağrılır. Bu, oturum değişkenlerini bu sayfadan almamızı sağlar. time() işlevi kullanılarak , geçerli saat hesaplanabilir. Geçerli saat ile oturum açma sırasında oluşturulan oturum değişkeni arasındaki fark, istenen zaman aşımını geçmemelidir. Süre aşıldığında oturum yok edilir ve sayfa Login sayfasına yönlendirilir. Oturum zaman aşımı=10 dakika
gibi . Oturum, 10 dakika = 10*60 saniye = 600 saniye sonra otomatik olarak yok edilmelidir.

<?php
session_start();
// To check if session is started.
if(isset($_SESSION["user"]))
{
    if(time()-$_SESSION["login_time_stamp"] >600) 
    {
        session_unset();
        session_destroy();
        header("Location:login.php");
    }
}
else
{
    header("Location:login.php");
}
?>