Kāds ir sesijas darbības mehānisms tīmekļa lietojumprogrammās?

Sesijas darbības mehānisms balstās uz lietotāja stāvokļa saglabāšanu starp HTTP pieprasījumiem, kas būtībā ir bezvalstības. To panāk ar unikāla sesijas identifikatora izmantošanu:

Galvenie soļi:

1. Lietotāja pirmā pieprasījuma: Lietotājs nosūta pieprasījumu tīmekļa serverim.
2. Sesijas izveide: Ja pieprasījums ir no nezināma lietotāja (tam nav sesijas identifikatora), serveris izveido jaunu sesiju savā pusē (atmiņā, datu bāzē, failu sistēmā) un ģenerē unikālu sesijas identifikatoru.
3. Identifikatora nosūtīšana klientam: Serveris nosūta šo identifikatoru kā sīkfailu (Set-Cookie: SESSIONID=xyz; path=/).
4. Saglabāšana klienta pusē: Pārlūkprogramma saglabā šo sīkfailu un nosūta to ar visiem turpmākajiem pieprasījumiem uz to pašu domēnu (Cookie: SESSIONID=xyz).
5. Identifikācija serverī: Katru nākamo pieprasījumu ar sīkfailu, kas satur sesijas identifikatoru, serveris izmanto to, lai atrastu atbilstošu sesiju un iegūtu saglabātos lietotāja datus.
6. Sesijas beigšana: Sesija var beigties pēc neaktivitātes laika beigām, lietotāja tiešas iziešanas (logout) vai pārlūkprogrammas aizvēršanas (ja sīkfaila derīguma termiņš nav noteikts).

Piemērs — sesijas izmantošana autorizācijas informācijas glabāšanai:

// Java Servlets piemērs
HttpSession session = request.getSession(); // Saņemt vai izveidot sesiju

// Pārbaudīt, vai lietotājs ir autorizēts
if (session.getAttribute("loggedInUser") == null) {
    // Lietotājs nav autorizēts, novirzīt uz ieejas lapu
    response.sendRedirect("/login");
} else {
    // Lietotājs ir autorizēts, iegūt datus
    User user = (User) session.getAttribute("loggedInUser");
    // ... darbs ar lietotāja datiem
}

Sesijas glabāšanas vietas:

• Atmiņā serverī (piemērots mazām lietojumprogrammām)
• Servera failu sistēmā
• Datu bāzē (klasiskā, mērogojama)
• Izplatītās kešatmiņās (Redis, Memcached) — mērogošanai vairākos serveros

Drošība:

• Izmantojot "secure" un "HttpOnly" flagus sīkfailiem
• ID atjaunošana pēc veiksmīgas autentifikācijas
• Atbilstoša sesijas laika iestatīšana
• Aizsardzība pret Session Hijacking (sesijas identifikatora pārņemšanu).