Care este mecanismul de funcționare a sesiunii în aplicațiile web?

Mecanismul de funcționare a sesiunii se bazează pe păstrarea stării utilizatorului între solicitările HTTP, care în esență sunt fără stare. Acest lucru se realizează prin utilizarea unui identificator unic de sesiune.

Pașii principali:

1. Prima solicitare a utilizatorului: Utilizatorul trimite o solicitare către serverul web.
2. Crearea sesiunii: Dacă solicitarea provine de la un utilizator necunoscut (fără identificator de sesiune), serverul creează o sesiune nouă pe partea sa (în memorie, în baza de date, în sistemul de fișiere) și generează un identificator unic de sesiune.
3. Trimiterea identificatorului către client: Serverul trimite acest identificator de sesiune către client sub formă de cookie (Set-Cookie: SESSIONID=xyz; path=/).
4. Stocarea pe client: Browserul salvează acest cookie și îl trimite cu toate solicitările ulterioare către același domeniu (Cookie: SESSIONID=xyz).
5. Identificarea pe server: La primirea fiecărei solicitări ulterioare cu un cookie care conține identificatorul de sesiune, serverul folosește acest identificator pentru a găsi sesiunea corespunzătoare și pentru a obține datele salvate ale utilizatorului.
6. Încheierea sesiunii: Sesiunea poate fi încheiată din cauza inactivității, prin logout explicit sau închiderea browserului (dacă cookie-ul de sesiune nu are termen de valabilitate).

Exemplu de utilizare a sesiunii pentru stocarea informațiilor de autorizare:

// Exemplu în Java Servlets
HttpSession session = request.getSession(); // Obține sau creează sesiunea

// Verifică dacă utilizatorul este autorizat
if (session.getAttribute("loggedInUser") == null) {
    // Utilizatorul nu este autorizat, redirecționează către pagina de login
    response.sendRedirect("/login");
} else {
    // Utilizator autorizat, obține datele
    User user = (User) session.getAttribute("loggedInUser");
    // ... lucrul cu datele utilizatorului
}

Stocarea sesiunilor:

• În memoria serverului (potrivit pentru aplicații mici).
• În sistemul de fișiere al serverului.
• În baza de date (opțiune clasică, scalabilă).
• În cache-uri distribuite (Redis, Memcached) pentru scalare pe mai multe servere.

Securitate:

• Utilizarea flagurilor "secure" și "HttpOnly" pentru cookie-urile de sesiune.
• Regenerarea ID-ului de sesiune după autentificarea cu succes.
• Stabilirea unui timeout adecvat pentru sesiune.
• Protecție împotriva hijacking-ului de sesiune (Session Hijacking).