Käyttäjäistunnot

Käyttäjäistunnot tarkoittavat tilapäisiä ympäristöjä ja tiloja, jotka luodaan, kun käyttäjä kirjautuu järjestelmään, palveluun tai sovellukseen. Istuntojen aikana tallennetaan todennus- ja käyttäjätili, oikeudet sekä konteksti, jotta useita pyyntöjä tai tehtäviä voidaan käsitellä saman käyttäjänä ilman uudelleen todennusta.

Käyttöjärjestelmissä käyttäjäistunnot muodostuvat kirjautumisen yhteydessä ja päättyvät uloskirjautumiseen, aikakatkaisuun tai järjestelmän sammuttamiseen. Jokaisella käyttäjällä voi olla useita yhtä aikaa avoimia istuntoja; ne voivat käynnistyä eri laitteilla tai virtuaalisissa ympäristöissä. Istuntoihin liittyy prosessiryhmä, käyttäjäympäristö ja oikeudet.

Verkkosovelluksissa istuntoa käytetään säilyttämään käyttäjän tila useamman HTTP-pyynnön välillä. Tavallisesti istunnon tunniste siirtyy asiakkaalle evästeellä tai URL-osoitteen osana, ja istuntoa säilytetään palvelimella tai tallennetaan asiakkaalle. Istuntotiedot voivat sisältää kirjautumistilan, tilatut tapahtumat ja asetuksia. Istunnon vanheneminen määräytyy epäaktiivisuusajalla tai kokonaisella aikakatkaisulla.

Istuntojen hallinta kattaa luomisen, tilan ylläpidon ja päättämisen. Turvallisuudessa kiinnitetään huomiota istunnon hakkerointiin, uudelleenohjaukseen ja CSRF-uhkiin. Suositellaan käyttämään HTTPS-yhteyttä, Secure- ja HttpOnly -evästeitä sekä SameSite-sääntöä, sekä säännöllisiä istunnon uusimisia ja lyhyitä aikakatkaisuita.

Tallennusmuodot vaihtelevat: palvelinpuoleiset istunnot voivat käyttää muistia, tietokantaa tai välimuistia (esim. Redis), ja joissain toteutuksissa käytetään stateless-toteutusta kuten JSON Web Token -tokeneita. Valinta vaikuttaa suorituskykyyn, skaalautuvuuteen ja turvallisuuteen.

Käyttäjäistuntojen tarkoituksena on parantaa käyttökokemusta sekä tukea autentikointia, pääsyoikeuksien hallintaa, auditointia ja seurantaa.