Qual è il meccanismo di funzionamento della sessione nelle applicazioni web?

Il meccanismo di funzionamento della sessione si basa sulla conservazione dello stato dell'utente tra le richieste HTTP, che di per sé sono senza stato. Ciò si ottiene utilizzando un identificatore di sessione univoco.

Passaggi principali:

1. Prima richiesta dell'utente: L'utente invia una richiesta al server web.
2. Creazione della sessione: Se la richiesta proviene da un utente sconosciuto (che non ha un identificatore di sessione), il server crea una nuova sessione sul suo lato (in memoria, nel database, nel sistema di file) e genera un identificatore di sessione univoco.
3. Invio dell'identificatore al client: Il server invia questo identificatore di sessione al client sotto forma di cookie (Set-Cookie: SESSIONID=xyz; path=/).
4. Salvataggio sul client: Il browser salva questo cookie e lo invia con tutte le richieste successive allo stesso dominio (Cookie: SESSIONID=xyz).
5. Identificazione sul server: Alla ricezione di ogni richiesta successiva con un cookie contenente l'identificatore di sessione, il server utilizza tale identificatore per cercare la sessione corrispondente e ottenere i dati utente salvati.
6. Terminazione della sessione: La sessione può terminare per inattività, logout esplicito dell'utente o chiusura del browser (se il cookie di sessione non ha una data di scadenza).

Esempio di utilizzo di sessione per memorizzare informazioni di autorizzazione:

// Esempio in Java Servlets
HttpSession session = request.getSession(); // Ottieni o crea la sessione

// Verifica se l'utente è autorizzato
if (session.getAttribute("loggedInUser") == null) {
    // Utente non autorizzato, reindirizza alla pagina di login
    response.sendRedirect("/login");
} else {
    // Utente autorizzato, ottieni i dati
    User user = (User) session.getAttribute("loggedInUser");
    // ... lavoro con i dati dell'utente
}

Archiviazione delle sessioni:

• In memoria del server (adatto per applicazioni di piccole dimensioni).
• Nel sistema di file del server.
• In un database (opzione classica, scalabile).
• In cache distribuite (Redis, Memcached) per la scalabilità su più server.

Sicurezza:

• Uso dei flag "secure" e "HttpOnly" per i cookie di sessione.
• Rigenerazione dell'ID di sessione dopo un'autenticazione riuscita.
• Impostazione di un timeout adeguato per la sessione.
• Protezione contro il session hijacking.