Hoe werkt het sessiemechanisme in webapplicaties?

Het sessiemechanisme in webapplicaties is gebaseerd op de identificatie van de gebruiker tussen verzoeken, die van nature stateless zijn.

Het proces verloopt meestal als volgt:

1. Eerste verzoek van de gebruiker: De client (browser) stuurt een verzoek naar de server.
2. Aanmaken van een sessie: De server ontvangt het verzoek en genereert, indien dit de eerste aanvraag van deze client is of als de sessie nog niet bestaat, een unieke sessie-ID (Session ID).
3. Opslag van sessiegegevens: De server slaat de gegevens op die aan deze Session ID zijn gekoppeld. Dit kunnen gebruikersgegevens (inloggen, rol), winkelwagenstatus, instellingen, etc. zijn. Opslag kan op de server zelf (geheugen, bestanden) of in een aparte opslag (database, Redis) plaatsvinden.
4. Overdracht van Session ID aan de client: De server stuurt een antwoord terug, inclusief de Session ID. De meest gebruikelijke methoden van overdracht zijn:
   • Cookie: De server stelt een cookie in met de Session ID in de browser van de gebruiker. De browser stuurt deze cookie automatisch bij elke volgende aanvraag naar hetzelfde domein.
   • URL: De Session ID wordt opgenomen in de URL-parameters (minder veilig en aanbevolen methode).
   • Verborgen velden in formulieren: De Session ID wordt geplaatst in een verborgen veld <input type="hidden"> in het HTML-formulier (gebruikt bij het verzenden van formulieren).
5. Vervolgverzoeken: Wanneer de client het volgende verzoek verstuurt, bevat deze de Session ID (bijvoorbeeld via de cookie).
6. Identificatie van de gebruiker: De server ontvangt het verzoek, haalt de Session ID eruit en gebruikt deze om de bijbehorende sessiegegevens te zoeken. Op deze manier "herkent" de server de gebruiker en zijn vorige staat.
7. Bijwerken van sessiegegevens: Terwijl de gebruiker met de applicatie interactie heeft, kan de server gegevens in de sessieopslag wijzigen of toevoegen, gekoppeld aan de huidige Session ID.
8. Einde van de sessie: De sessie kan expliciet worden beëindigd (bijvoorbeeld bij uitloggen) of automatisch na een bepaalde periode van inactiviteit (sessietimeout). Bij beëindiging worden de gegevens die aan de Session ID zijn gekoppeld, verwijderd van de server.

Belangrijkste componenten:

• Session ID: Unieke identifier van de sessie.
• Server-side sessieopslag: Plaats waar de gegevens die aan de Session ID zijn gekoppeld, worden opgeslagen.
• Mechanisme voor overdracht van Session ID aan de client: Meestal via cookies.

Dit mechanisme stelt webapplicaties in staat om de interactiekontekst met elke gebruiker gedurende zijn sessie te behouden, ondanks de stateloze aard van het HTTP-protocol.