セッション

HTTPは一回ごとの要求と応答で完結するため、そのままでは前のやり取りを覚えていません。セッションは、ログインした状態や入力の途中の内容、カートの中身などを、ページを移っても引き継ぐしくみです。多くの場合、利用者を見分ける番号をCookieでブラウザに持たせ、中身はサーバーで管理します。

業務システムでは、ログインの状態をどれだけの時間保つか、操作がない場合にいつ自動でログアウトさせるかを、使いやすさと安全の兼ね合いで決めます。共用の端末で使うかどうかや、扱う情報の重要さによって、適した長さが変わります。

セッションの番号が他人に知られると、その人になりすましてシステムを使われるおそれがあります。HTTPSでのみ送る、ログインのたびに番号を作り直す、ログアウトで無効にする、といった対策を取ります。脆弱性診断で確かめられることの多い項目です。