Ποιος είναι ο μηχανισμός λειτουργίας της συνεδρίας…

Ο μηχανισμός λειτουργίας της συνεδρίας βασίζεται στη διατήρηση της κατάστασης του χρήστη μεταξύ των αιτημάτων HTTP, τα οποία από τη φύση τους είναι χωρίς κατάσταση. Αυτό επιτυγχάνεται με τη χρήση ενός μοναδικού αναγνωριστικού συνεδρίας.

Βασικά βήματα:

Πρώτο αίτημα του χρήστη: Ο χρήστης στέλνει ένα αίτημα στον web server.
Δημιουργία συνεδρίας: Αν το αίτημα προέρχεται από άγνωστο χρήστη (χωρίς αναγνωριστικό συνεδρίας), ο διακομιστής δημιουργεί μια νέα συνεδρία στη μεριά του (στη μνήμη, στη βάση δεδομένων, στο σύστημα αρχείων) και παράγει ένα μοναδικό αναγνωριστικό συνεδρίας.
Αποστολή του αναγνωριστικού στον πελάτη: Ο διακομιστής στέλνει αυτό το αναγνωριστικό στον πελάτη με τη μορφή cookie (Set-Cookie: SESSIONID=xyz; path=/).
Αποθήκευση στον πελάτη: Ο περιηγητής αποθηκεύει αυτό το cookie και το στέλνει με όλες τις επόμενες αιτήσεις στον ίδιο τομέα (Cookie: SESSIONID=xyz).
Ταυτοποίηση στον διακομιστή: Κατά την παραλαβή κάθε επόμενης αίτησης με cookie που περιέχει το αναγνωριστικό συνεδρίας, ο διακομιστής χρησιμοποιεί αυτό το αναγνωριστικό για να βρει τη σχετική συνεδρία και να λάβει τα αποθηκευμένα δεδομένα χρήστη.
Ολοκλήρωση συνεδρίας: Η συνεδρία μπορεί να λήξει λόγω αδράνειας, με έξοδο χρήστη ή κλείσιμο του προγράμματος περιήγησης (αν το cookie συνεδρίας δεν έχει χρόνο λήξης).

Παράδειγμα χρήσης συνεδρίας για αποθήκευση πληροφοριών αυθεντικοποίησης:

// Παράδειγμα σε Java Servlets
HttpSession session = request.getSession(); // Απόκτηση ή δημιουργία συνεδρίας

// Έλεγχος αν ο χρήστης είναι συνδεδεμένος
if (session.getAttribute("loggedInUser") == null) {
    // Ο χρήστης δεν είναι συνδεδεμένος, ανακατεύθυνση στη σελίδα εισόδου
    response.sendRedirect("/login");
} else {
    // Ο χρήστης είναι συνδεδεμένος, λήψη δεδομένων
    User user = (User) session.getAttribute("loggedInUser");
    // ... επεξεργασία δεδομένων χρήστη
}

Αποθήκευση συνεδριών:

Στη μνήμη του διακομιστή (κατάλληλο για μικρές εφαρμογές).
Στο σύστημα αρχείων του διακομιστή.
Σε βάσεις δεδομένων (κλαστική, κλιμακούμενη επιλογή).
Σε κατανεμημένες cache (Redis, Memcached) για κλιμάκωση σε πολλούς διακομιστές.

Ασφάλεια:

Χρήση των flags "secure" και "HttpOnly" για τα cookies συνεδρίας.
Αναγέννηση του αναγνωριστικού συνεδρίας μετά από επιτυχημένη αυθεντικοποίηση.
Ορισμός κατάλληλου χρόνου λήξης συνεδρίας.
Προστασία από hijacking συνεδρίας (Session Hijacking).

Ποιος είναι ο μηχανισμός λειτουργίας της συνεδρίας στις web εφαρμογές;