Kasutajaseanss

Kasutajaseanss (kasutaja seanss) on ajaperiood, mille vältel kasutaja suhtleb süsteemiga alates autentimisest kuni välja logimise või seansi aegumiseni. See mõiste kattab nii veebibraatori kui ka töökeskkonna rakenduste kasutajate toimingud ja võimaldab säilitada kasutaja olekut ning eelistusi mitmesammas päringus.

Kasutajaseanss töötab tavaliselt nii, et server loob seansi ID või märgi kasutaja autentimise järel ja seob selle kasutajaandmete ning vaatajatega serveris. See ID saadetakse kliendile tavaliselt küpsise kaudu või turvalise tokenina ning edastatakse tagasi iga päringuga. Server kasutab seansi ID, et leida vastav kasutaja olek, autentiline staatus, privaatsed eelistused ja muud ajutised andmed.

Seansi elutsükkel hõlmab loomist autentsuse järel, seansi staatuse hoidmist päringute vahel, vajadusel ID rotatsiooni (seansi ID regenereerimine) turvakaalutlustel ning lõpetamist sisselogimise, välja logimise või aegumise korral. Ajavahemiku pikendamine võidakse kontrollida tegevusega ja seansi saab lõplikult lõpetada ka kasutajale soovimatu tegevuse korral.

Turvalisus ja parimad tavad hõlmavad TLS-krüpteeringut, HttpOnly ja Secure märgiseid küpsisel, SameSite piiramisi, piiratud kehtivusaega ning seansi ID rotatsiooni kasutamist. Oluline on vältida seansi varastamist ja seansi fikseerimist ning tagada õigeaegne kasutajale nähtav logimine või juurdepääsupiirangud.

Seotud andmed ja salvestus võivad olla kas serveri- või kliendisel tasemel. Traditsioonilised seansid hoiustatakse serveris (in-memory, andmebaas või vahemälu), samas on võimalik kasutada json web token’eid (stateless autentimine) ning kaasata lühikesed juurdeantavad uuendusvõimalused. Mõlemal lähenemisel on omad eelistused ning riskid, mis tuleb rakenduse kontekstis kaaluda.

---