Sesja wygasa zaraz po zamknięciu przeglądarki. Gdyby tak nie było to nie istniało by coś takiego jak 'Zaloguj mnie automatycznie', zapewne kojarzysz takie coś z systemów logowań na różnorakich stronach. Wtedy tworzony jest unikalny ciąg znaków dla danego usera, zapiswany jest on w bazie, do tego dla bezpieczeństwa pobierany jest też jego user_agent + tworzone jest ciasteczko w jego przeglądarce z żywotnością, np. na 20 dni, a jako wartość ma ono przypisane właśnie ten losowy ciąg znaków. Po wejściu takiego usera na stronę sprawdzane jest czy ciasteczko istnieje oraz czy losowy ciąg znaków z ciasteczka przypisany jest dla jakiegoś usera. Do tego oczywiście też porównywany jest jego user_agent, z tym zapisanym w bazie. Jeśli wszystko się zgadza to następuje automatyczne przypisanie sesji:
$_SESSION['login'] = TRUE;
Nie trzeba by było się tak męczyć, gdyby sesja nie wygasała po zamknięciu przeglądarki, ale to oczywiście jest kwestia bezpieczeństwa sesji.
Trochę się rozpisałem, ale najlepiej człowiek łapie na konkretnych przykładach
