Qual é o mecanismo de funcionamento da sessão em aplicações web?

O mecanismo de funcionamento das sessões em aplicações web baseia-se na identificação do utilizador entre pedidos, que por natureza são sem estado (stateless).

O processo geralmente funciona assim:

1. Primeiro pedido do utilizador: O cliente (navegador) envia um pedido ao servidor.
2. Criação da sessão: O servidor recebe o pedido e, se for o primeiro pedido deste cliente ou se a sessão ainda não tiver sido criada, gera um identificador único de sessão (ID de sessão).
3. Armazenamento dos dados da sessão: O servidor guarda os dados associados a este ID de sessão. Estes podem incluir dados do utilizador (login, papel), estado do carrinho de compras, configurações, etc. O armazenamento pode ser feito no próprio servidor (em memória, ficheiros) ou num armazenamento separado (base de dados, Redis).
4. Transmissão do ID de sessão ao cliente: O servidor envia uma resposta ao cliente, incluindo o ID de sessão. As formas mais comuns de transmissão são:
   • Cookie: O servidor estabelece um cookie com o ID de sessão no navegador do utilizador. O navegador envia automaticamente este cookie com cada pedido subsequente ao mesmo domínio.
   • URL: O ID de sessão é incluído nos parâmetros da URL (método menos seguro e recomendado).
   • Campos ocultos no formulário: O ID de sessão é colocado num campo oculto <input type="hidden"> no formulário HTML (usado ao enviar formulários).
5. Pedidos seguintes: Quando o cliente envia o pedido seguinte, inclui nele o ID de sessão (por exemplo, a partir do cookie).
6. Identificação do utilizador: O servidor recebe o pedido, extrai o ID de sessão e usa-o para procurar os dados da sessão correspondentes. Assim, o servidor "reconhece" o utilizador e o seu estado anterior.
7. Atualização dos dados da sessão: À medida que o utilizador interage com a aplicação, o servidor pode modificar ou adicionar dados ao armazenamento de sessões, relacionados com o ID de sessão atual.
8. Encerramento da sessão: A sessão pode ser encerrada explicitamente (por exemplo, ao fazer logout) ou automaticamente após um período de inatividade determinado (timeout de sessão). Ao terminar, os dados relacionados com o ID de sessão são removidos do servidor.

Componentes principais:

• ID de sessão: Identificador único de sessão.
• Armazenamento do servidor de sessões: Local onde os dados relacionados com o ID de sessão são guardados.
• Mecanismo de transmissão do ID de sessão ao cliente: Geralmente Cookie.

Este mecanismo permite às aplicações web manter o contexto de interação com cada utilizador durante toda a navegação, apesar do caráter sem estado do protocolo HTTP.