Wat is het mechanisme van de sessie in webapplicaties?

Het sessiemechanisme is gebaseerd op het bewaren van de status van de gebruiker tussen HTTP-verzoeken, die van nature stateless zijn. Dit wordt bereikt door gebruik te maken van een uniek sessie-identificatienummer.

Belangrijkste stappen:

1. Eerste verzoek van de gebruiker: De gebruiker stuurt een verzoek naar de webserver.
2. Sessie aanmaken: Als het verzoek afkomstig is van een onbekende gebruiker (zonder sessie-ID), maakt de server een nieuwe sessie aan (in het geheugen, in de database, op het bestandssysteem) en genereert een uniek sessie-ID.
3. Verzenden van het ID naar de client: De server stuurt dit sessie-ID naar de client in de vorm van een cookie (Set-Cookie: SESSIONID=xyz; path=/).
4. Opslag op de client: De browser slaat deze cookie op en stuurt deze mee met alle volgende verzoeken naar hetzelfde domein (Cookie: SESSIONID=xyz).
5. Identificatie op de server: Bij ontvangst van elk volgend verzoek met een cookie die het sessie-ID bevat, gebruikt de server dit ID om de bijbehorende sessie te vinden en de opgeslagen gebruikersgegevens op te halen.
6. Einde van de sessie: De sessie kan eindigen door inactiviteit, door explicief uitloggen van de gebruiker, of door het sluiten van de browser (als de cookie geen vervaltijd heeft).

Voorbeeld van het gebruik van een sessie voor het opslaan van autorisatie-informatie:

// Voorbeeld in Java Servlets
HttpSession session = request.getSession(); // Sessies ophalen of aanmaken

// Controleren of de gebruiker is ingelogd
if (session.getAttribute("loggedInUser") == null) {
    // Gebruiker niet ingelogd, doorverwijzen naar inlogpagina
    response.sendRedirect("/login");
} else {
    // Gebruiker ingelogd, gegevens ophalen
    User user = (User) session.getAttribute("loggedInUser");
    // ... werken met gebruikersgegevens
}

Sessies opslaan:

• In het geheugen van de server (geschikt voor kleine applicaties).
• In het bestandssysteem van de server.
• In een database (klassieke, schaalbare optie).
• In gedistribueerde caches (Redis, Memcached) voor schaalbaarheid over meerdere servers.

Beveiliging:

• Gebruik van "secure" en "HttpOnly" flags voor sessie-cookies.
• Regeneratie van de sessie-ID na succesvolle authenticatie.
• Instellen van een geschikte timeout voor de sessie.
• Bescherming tegen sessie hijacking.