Qual è il meccanismo di funzionamento delle sessioni nelle applicazioni web?

Il meccanismo di funzionamento delle sessioni nelle applicazioni web si basa sull'identificazione dell'utente tra le richieste, che per loro natura sono senza stato (stateless).

Il processo di solito si presenta così:

1. Prima richiesta dell'utente: Il client (browser) invia una richiesta al server.
2. Creazione della sessione: Il server riceve la richiesta e, se è la prima richiesta di questo client o se la sessione non è ancora stata creata, genera un identificatore di sessione univoco (Session ID).
3. Memorizzazione dei dati della sessione: Il server memorizza i dati associati a questo Session ID. Questi possono includere dati dell'utente (accesso, ruolo), stato del carrello, impostazioni, ecc. La memorizzazione può avvenire sul server stesso (in memoria, file) o in un archivio separato (database, Redis).
4. Trasmissione del Session ID al client: Il server invia una risposta al client, includendo il Session ID. I metodi di trasmissione più comuni sono:
   • Cookie: Il server imposta un cookie con il Session ID nel browser dell'utente. Il browser invia automaticamente questo cookie con ogni richiesta successiva allo stesso dominio.
   • URL: Il Session ID viene incluso nei parametri URL (metodo meno sicuro e raccomandato).
   • Campi nascosti nel modulo: Il Session ID viene inserito in un campo nascosto <input type="hidden"> nel modulo HTML (usato durante l'invio di moduli).
5. Richieste successive: Quando il client invia la richiesta successiva, include il Session ID (ad esempio, dal cookie).
6. Identificazione dell'utente: Il server riceve la richiesta, estrae il Session ID e lo utilizza per cercare i dati della sessione corrispondenti. In questo modo, il server "riconosce" l'utente e il suo stato precedente.
7. Aggiornamento dei dati della sessione: Man mano che l'utente interagisce con l'applicazione, il server può modificare o aggiungere dati allo storage delle sessioni, associati all'attuale Session ID.
8. Terminazione della sessione: La sessione può essere terminata esplicitamente (ad esempio, al logout) o automaticamente dopo un certo periodo di inattività (timeout di sessione). Alla fine, i dati associati al Session ID vengono eliminati dal server.

Componenti principali:

• Session ID: Identificatore univoco della sessione.
• Storage delle sessioni sul server: Luogo in cui vengono memorizzati i dati associati al Session ID.
• Meccanismo di trasmissione del Session ID al client: Di solito Cookie.

Questo meccanismo consente alle applicazioni web di mantenere il contesto di interazione con ogni utente durante tutta la navigazione, nonostante la natura senza stato del protocollo HTTP.