Java Webアプリケーションにおけるセッション管理
HTTPはステートレスです。これは、ブラウザからのすべてのリクエストが、全く新しいやり取りであることを意味します。サーバーは、あなたが誰であるか、あるいは一秒前に何をしていたかを記憶していません。
セッション管理がなければ、ウェブサイトは機能しません。
- ページをクリックするたびにログインを求められます。
- 移動するたびにショッピングカートが空になります。
- 個人設定が瞬時に消えてしまいます。
セッション管理は継続性を生み出します。これにより、サーバーは複数のリクエストを単一のユーザーに紐付けることができます。
仕組み：
- ユーザーがログインする。
- サーバーがセッションを作成する。
- サーバーが固有のSession IDを生成する。
- サーバーがこのIDをブラウザに送信する。
- ブラウザが新しいリクエストのたびにそのIDを返送する。
Javaでは、これを処理するために HttpSession インターフェースを使用します。ユーザーIDやロール（役割）などのデータをセッションに直接保存できます。
一般的なトラッキング方法：
- Cookies（クッキー）：最も一般的な方法です。サーバーが
JSESSIONIDクッキーを送信し、残りの処理はブラウザが行います。 - URL Rewriting：IDがウェブアドレスに追加されます。これは、ユーザーがクッキーを無効にしている場合に機能します。
- Hidden Form Fields（隠しフォームフィールド）：IDがHTMLフォーム内に保持されます。
セキュリティは最大の課題です。攻撃者がSession IDを盗んだ場合、ユーザーになりすますことができてしまいます。
安全性を保つためのルール：
- JavaScriptによる盗難を防ぐために、
HttpOnlyクッキーを使用してください。 - データがHTTPS経由でのみ送信されるよう、
Secureクッキーを使用してください。 - CSRF攻撃を防ぐために、
SameSite設定を使用してください。 - ユーザーがログアウトするときは、常に
session.invalidate()を呼び出してください。 - セッション固定攻撃（fixation attacks）を防ぐため、ログイン後は新しいセッションを作成してください。
大規模な企業向けのスケールアップ： 標準的なセッションは単一のサーバー上で動作します。しかし、大規模なアプリケーションでは、ロードバランサーの背後に多くのサーバーが存在します。サーバーAにあなたのセッションがある場合、サーバーBはあなたを認識できません。
これを解決するために、プロフェッショナルは以下を使用します：
- Sticky Sessions（スティッキーセッション）：ロードバランサーが毎回同じサーバーにあなたを転送します。
- Distributed Caching（分散キャッシュ）：すべてのサーバーが Redis のような中央ストアに接続します。これが業界標準です。
モダンなアプリケーションでは、JWT（JSON Web Tokens）も使用されます。セッションとは異なり、JWTはステートレスです。データはサーバー上ではなく、トークン自体に保持されます。これにより、マイクロサービスのスケールアップが容易になります。
セッションをマスターすることは、安全でプロフェッショナルなJavaアプリケーションを構築するのに役立ちます。
Source: https://dev.to/naveenkumar1/session-management-in-java-web-applications-38od
Optional learning community: https://t.me/GyaanSetuAi