認証・認可

セッション管理

概要

ログイン状態を一定期間維持・管理する仕組み。

認証後の状態をサーバ側またはトークンで維持・管理する仕組み。セッションIDの漏洩対策が重要になる。かつてのようにセッションIDをURLに含める方式は、閲覧履歴を他人と共有した際などに漏洩しやすいため、現在ではHttpOnlyやSecure属性を付けたCookieで管理するのが基本とされる。