Token y seguridad

[leonaryoel]

A ver compañeros, tengo otra duda respecto a la conversación anterior.

Ya he realizado mi sistema donde al iniciar sesion se crea la session['user'] y si tiene marcada la casilla de recordar credenciales haga setcookie con mis 3 cookies(tipo de navegador, ip, token), esta cookie la pude a expirar con los parametros de setcookie asi: time()*60*60*30 y solo guardo en la BD el token asociado al identificador de usuario.

Ahora, al hacer un var_dumb a $_COOKIES veo que existe PHPSESSID (por logica si llamo a un session_start se crea esta) además de mis otras cookies. He logrado hacer que si la cookie token existe entonces consulte en la BD a ver de quien es y si coincide el tipo de navegador y el IP entonces muestre la pagina home, sino entonces muestre la página de login.

Hata ahí todo bien, el echo es que mi $_SESSION['user'] se esta quedando activa cuando cierro mi pestaña. Esto lo se pq al hacer login sin marcar la casilla de recordar credenciales las cookies no se crean, pero igual yo digo que si la cookie no existe pero existe la sision, me abra el home y no el login, y cuando me logueo y cierro la pestaña del navegador me sigue mostrando el home cuando deberia llebarme al login.

Entonces al hacer var_dumb a $_COOKIES solo veo la PHPSESSID, porqu elas otras cookies no se crearon pq no le di a recordar credenciales(eso esta bien), pero no debería destruir la sesión al cerrar la pestaña del navegador?

Cómo puedo lograr esto?

Otra duda. Si yo agreo ini_set('session.cookie_httponly', 1); puedo registrar las cookies mediante ajax y continuar usandolas normalmente?