¿Cuál es el mecanismo de trabajo de la sesión en las aplicaciones web?

El mecanismo de trabajo de la sesión se basa en mantener el estado del usuario entre solicitudes HTTP, que por su naturaleza son sin estado. Esto se logra mediante el uso de un identificador de sesión único.

Pasos principales:

1. Primera solicitud del usuario: El usuario envía una solicitud al servidor web.
2. Creación de la sesión: Si la solicitud proviene de un usuario desconocido (que no tiene un identificador de sesión), el servidor crea una nueva sesión en su lado (en memoria, base de datos, sistema de archivos) y genera un identificador de sesión único.
3. Envío del identificador al cliente: El servidor envía este identificador de sesión al cliente en forma de cookie (Set-Cookie: SESSIONID=xyz; path=/).
4. Almacenamiento en el cliente: El navegador guarda esta cookie y la envía con todas las solicitudes posteriores al mismo dominio (Cookie: SESSIONID=xyz).
5. Identificación en el servidor: Al recibir cada solicitud posterior con una cookie que contiene el identificador de sesión, el servidor usa este identificador para buscar la sesión correspondiente y obtener los datos almacenados del usuario.
6. Finalización de la sesión: La sesión puede terminar por tiempo de inactividad, por cierre explícito del usuario (logout), o por cierre del navegador (si la cookie de sesión no tiene fecha de caducidad).

Ejemplo de uso de sesión para almacenar información de autorización:

// Ejemplo en Java Servlets
HttpSession session = request.getSession(); // Obtenemos o creamos la sesión

// Verificamos si el usuario está autorizado
if (session.getAttribute("loggedInUser") == null) {
    // Usuario no autorizado, redirigir a la página de inicio de sesión
    response.sendRedirect("/login");
} else {
    // Usuario autorizado, obtener datos
    User user = (User) session.getAttribute("loggedInUser");
    // ... trabajar con los datos del usuario
}

Almacenamiento de sesiones:

• En memoria del servidor (apropiado para aplicaciones pequeñas).
• En el sistema de archivos del servidor.
• En base de datos (opción clásica, escalable).
• En cachés distribuidos (Redis, Memcached) para escalar en varios servidores.

Seguridad:

• Uso de banderas "secure" y "HttpOnly" para las cookies de sesión.
• Regeneración del ID de sesión tras una autenticación exitosa.
• Establecimiento de un tiempo de espera adecuado para la sesión.
• Protección contra secuestro de sesión (Session Hijacking).