Differences between session and cookie and background of their creation
- 2. 本日の SUMMERLY 1. HTTPとREST 2. StateLessとStateFullの違い 3. StateFullの実現 -Cookieの誕生- 4. Cookieの問題点 5. Session・セッション管理 6. セッション管理の仕組み 7. まとめ 2
- 3. 本日の SUMMERLY 1.HTTPとREST 2. StateLessとStateFullの違い 3. StateFullの実現 -Cookieの誕生- 4. Cookieの問題点 5. Session・セッション管理 6. セッション管理の仕組み 7. まとめ 2
- 4. 1. HTTPとREST
- 10. 本日の SUMMERLY 1. HTTPとREST 2.StateLessと StateFullの違い 3. StateFullの実現 -Cookieの誕生- 4. Cookieの問題点 5. Session・セッション管理 6. セッション管理の仕組み 7. まとめ 2
- 12. とあるマクド○ルドでの注文風景
- 13. とあるマクド○ルドでの注文風景
- 16. 何故?
- 19. HTTPはSTATELESSなプロトコル サーバがクライアントの ユーザ情報（状態）を保持しない • • • • • • • • • • • • •
- 22. STATEFULLとは??
- 25. 1. COOKIE 2. SESSION StateFullを実現する方法 サーバが通信記録のある クライアントを判別可能にする
- 26. 本日の SUMMERLY 1. HTTPとREST 2. StateLessとStateFullの違い 3.StateFullの実現 -Cookieの誕生- 4. Cookieの問題点 5. Session・セッション管理 6. セッション管理の仕組み 7. まとめ 2
- 28. 1. HTTPは本来ファイル転送のためのプロトコル 実際はコンピュータの扱えるデータであれば何でも転送出来る(している) 2. HTTPはクライアント・サーバ間の通信状態を把握できない 3. 動的コンテンツを提供したいというニーズが生じる セッション状態に対応して異なるページを表示したい 4. HTTPだけでのセッション管理は欠点が幾つも有った URLに識別情報を含める方法でセッション管理など Cookieの誕生までの経緯
- 44. 1. WebサーバがWebブラウザにその状態を区別する識別子をHTTPヘッダに含める形でレスポンスする 2. ブラウザは次にそのサーバと通信する際に、与えられた識別子をHTTPヘッダに含めてリクエストする 3. サーバはその識別子を元にコンテンツの内容をユーザに合わせてカスタマイズし、ブラウザに渡す 必要があれば新たな識別子もHTTPヘッダに含める。 以降2、3の繰り返し。 HTTP cookie 引用元：https://ja.wikipedia.org/wiki/HTTP_cookie を多少編集
- 45. •ログイン •ショッピングカート •ゲームのスコア •またはその他のサーバーが覚えておくべきもの HTTP Cookie の使用 Cookie は主に、以下の用途で使用(セッション管理の場合) 引用元：https://developer.mozilla.org/ja/docs/Web/HTTP/Cookies
- 47. 本日の SUMMERLY 1. HTTPとREST 2. StateLessとStateFullの違い 3. StateFullの実現 -Cookieの誕生- 4.Cookieの問題点 5. Session・セッション管理 6. セッション管理の仕組み 7. まとめ 2
- 48. 4. COOKIEの問題点
- 49. 1. 機密性の高い情報を通信する度にHTTPヘッダに設定 通信の度に情報漏洩の危険性 2. クライアント側で改竄可能 ツールを使えば閲覧・編集は簡単 3. ヘッダに持たせれる容量が少ない セットする値の長さが4096BYTE以上の場合は無視される Cookieの問題点
- 50. 本日の SUMMERLY 1. HTTPとREST 2. StateLessとStateFullの違い 3. StateFullの実現 -Cookieの誕生- 4. Cookieの問題点 5.Sessionとセッション 6. セッション管理の仕組み 7. まとめ 2
- 53. この一連の流れの間は勿論
- 57. Webをセッション状態にする代表格はCookie型（他に3種ほど） Cookie型 = Cookie + Session ID + DB クライアント （＄） WebClient① WebServer WebClient② Session ID ユーザ ID ログイン 注文品 注文完了 218751ofi324 kato OK 米 ✔ 43298utjfoi2 gyaga OK —— —— —— —— —— —— —— —— —— —— Session ID 218751ofi324 Session ID 43298utjfoi2 Session ID 43298utjfoi2 Session ID 218751ofi324 Serverが管理するセッション状態
- 59. 本日の SUMMERLY 1. HTTPとREST 2. StateLessとStateFullの違い 3. StateFullの実現 -Cookieの誕生- 4. Cookieの問題点 5. Session・セッション管理 6. セッション管理の仕組み 7. まとめ 2
- 60. 6. セッション管理の仕組み
- 61. 1. セッションはクライアントとサーバの通信状態をステートフルにする 2. サーバ側ではセッションID(あるセッションと紐付いたキー)とセッション(状態)を保存 セッションIDのみ何らかの手段でクライアントに渡す 1. クッキーを利用する方法 2. URLのクエリストリング 3. HIDDEN属性に渡す 3. セキュリティの観点から一般的にはクッキーを使うことが多い． Session
- 62. セッション状態の管理概要 必要な要件、実現するための条件 ・ユーザはSession IDを取得出来るような状態にする ・ユーザは毎回HTTPリクエスト時にSession IDを付与しServerに送信 ・ServerはHTTPリクエストに付与されたSession IDを見て、ユーザを判別する ・複数ユーザからのリクエスト時でも同じユーザからのリクエストを判別したい ・複数ユーザが同時に使っていても個別にセッション状態を管理したい ・複数ユーザ使用中に、別のユーザ情報は見れないようにする 要 件 条 件
- 63. セッション状態の管理概要 必要な要件、実現するための条件 ・ユーザはSession IDを取得出来るような状態にする ・ユーザは毎回HTTPリクエスト時にSession IDを付与しServerに送信 ・ServerはHTTPリクエストに付与されたSession IDを見て、ユーザを判別する ・複数ユーザからのリクエスト時でも同じユーザからのリクエストを判別したい ・複数ユーザが同時に使っていても個別にセッション状態を管理したい ・複数ユーザ使用中に、別のユーザ情報は見れないようにする 要 件 条 件
- 64. セッション状態の管理概要 必要な要件、実現するための条件 ・ユーザはSession IDを取得出来るような状態にする ・ユーザは毎回HTTPリクエスト時にSession IDを付与しServerに送信 ・ServerはHTTPリクエストに付与されたSession IDを見て、ユーザを判別する ・複数ユーザからのリクエスト時でも同じユーザからのリクエストを判別したい ・複数ユーザが同時に使っていても個別にセッション状態を管理したい ・複数ユーザ使用中に、別のユーザ情報は見れないようにする 要 件 条 件
- 65. セッション状態の管理概要 必要な要件、実現するための条件 ・ユーザはSession IDを取得出来るような状態にする ・ユーザは毎回HTTPリクエスト時にSession IDを付与しServerに送信 ・ServerはHTTPリクエストに付与されたSession IDを見て、ユーザを判別する ・複数ユーザからのリクエスト時でも同じユーザからのリクエストを判別したい ・複数ユーザが同時に使っていても個別にセッション状態を管理したい ・複数ユーザ使用中に、別のユーザ情報は見れないようにする 要 件 条 件
- 66. セッション状態の管理概要 必要な要件、実現するための条件 ・ユーザはSession IDを取得出来るような状態にする ・ユーザは毎回HTTPリクエスト時にSession IDを付与しServerに送信 ・ServerはHTTPリクエストに付与されたSession IDを見て、ユーザを判別する ・複数ユーザからのリクエスト時でも同じユーザからのリクエストを判別したい ・複数ユーザが同時に使っていても個別にセッション状態を管理したい ・複数ユーザ使用中に、別のユーザ情報は見れないようにする 要 件 条 件
- 67. セッション状態の管理概要 必要な要件、実現するための条件 ・ユーザはSession IDを取得出来るような状態にする ・ユーザは毎回HTTPリクエスト時にSession IDを付与しServerに送信 ・ServerはHTTPリクエストに付与されたSession IDを見て、ユーザを判別する ・複数ユーザからのリクエスト時でも同じユーザからのリクエストを判別したい ・複数ユーザが同時に使っていても個別にセッション状態を管理したい ・複数ユーザ使用中に、別のユーザ情報は見れないようにする 要 件 条 件
- 68. Webをセッション状態にする代表格はCookie型（他に3種ほど） Cookie型 = Cookie + Session ID + DB クライアント （＄） WebClient WebServer
- 69. Webをセッション状態にする代表格はCookie型（他に3種ほど） Cookie型 = Cookie + Session ID + DB クライアント （＄） WebClient WebServer ・Session IDを保存する場所がCookie ・Session IDを保持する場所がSession
- 70. Webをセッション状態にする代表格はCookie型（他に3種ほど） Cookie型 = Cookie + Session ID + DB クライアント （＄） WebClient WebServer 初回HTTPリクエスト
- 71. Webをセッション状態にする代表格はCookie型（他に3種ほど） Cookie型 = Cookie + Session ID + DB クライアント （＄） WebClient WebServer 初回HTTPリクエスト HTTPレスポンス
- 72. Webをセッション状態にする代表格はCookie型（他に3種ほど） Cookie型 = Cookie + Session ID + DB クライアント （＄） WebClient WebServer 初回HTTPリクエスト HTTPレスポンス
- 73. Webをセッション状態にする代表格はCookie型（他に3種ほど） Cookie型 = Cookie + Session ID + DB クライアント （＄） WebClient WebServer 初回HTTPリクエスト ①Serverから SessionIDを発行し Cookieに格納 HTTPレスポンス
- 74. Webをセッション状態にする代表格はCookie型（他に3種ほど） Cookie型 = Cookie + Session ID + DB クライアント （＄） WebClient WebServer 初回HTTPリクエスト 二回目以降HTTPリクエスト ①Serverから SessionIDを発行し Cookieに格納
- 75. Webをセッション状態にする代表格はCookie型（他に3種ほど） Cookie型 = Cookie + Session ID + DB クライアント （＄） WebClient WebServer 初回HTTPリクエスト 二回目以降HTTPリクエスト ②Session IDを 格納したCookieを Serverに返す ①Serverから SessionIDを発行し Cookieに格納
- 76. Webをセッション状態にする代表格はCookie型（他に3種ほど） Cookie型 = Cookie + Session ID + DB クライアント （＄） WebClient WebServer 初回HTTPリクエスト 二回目以降HTTPリクエスト ②Session IDを 格納したCookieを Serverに返す ①Serverから SessionIDを発行し Cookieに格納
- 77. Webをセッション状態にする代表格はCookie型（他に3種ほど） Cookie型 = Cookie + Session ID + DB クライアント （＄） WebClient WebServer 初回HTTPリクエスト 二回目以降HTTPリクエスト ③Cookieから Session IDを取り出し ユーザを判別 ②Session IDを 格納したCookieを Serverに返す ①Serverから SessionIDを発行し Cookieに格納
- 78. Webをセッション状態にする代表格はCookie型（他に3種ほど） Cookie型 = Cookie + Session ID + DB クライアント （＄） WebClient WebServer 初回HTTPリクエスト 二回目以降HTTPリクエスト ②Session IDを 格納したCookieを Serverに返す ①Serverから SessionIDを発行し Cookieに格納 HTTPレスポンス ③Cookieから Session IDを取り出し ユーザを判別
- 79. 本日の SUMMERLY 1. HTTPとREST 2. StateLessとStateFullの違い 3. StateFullの実現 -Cookieの誕生- 4. Cookieの問題点 5. Session・セッション管理 6. セッション管理の仕組み 7.まとめ 2
- 80. 7. まとめ
- 81. 1. HTTPはステートフル → 元々ファイル転送の為のプロトコル ステートレスとは特定ユーザの一連の通信状態を把握していない 2. ステートフルにする方法はCOOKIEとSESSIONの2つ ステートフルとはセッション状態を保持し、それを管理できること 3. セッション状態とは特定ユーザの通信の確率∼切断間での行動履歴のようなもの セッション状態の保持はCOOKIEではHTTPヘッダで行い、SESSIONではサーバで行う 4. セッション管理とはセッション状態を管理すること 複数のHTTP通信と特定のユーザを紐付け、ステートレスなサーバがユーザを識別出来るようにする 5. COOKIEとSESSIONは明確に異なる SESSIONを用いたセッション管理において手段としてCOOKIEがある。SESSIONには技術と概念の二種類があるので混乱する 6. COOKIEはサーバがクライアントに識別子/ユーザ情報を保存しステートフルを実現する COOKIEはHTTPヘッダに格納できるテキストファイル → セキュリティに問題があるのでCOOKIEのみでは使用しない 7. SESSIONはセッションIDとセッション状態をサーバに保存してステートフルを実現する IDとセッション状態が紐づく。サーバはセッションID を何らかの方法でクライアントに渡す まとめ