Käyttäjäistuntoja

Käyttäjäistunto tarkoittaa ajanjaksoa, jonka aikana käyttäjä on todentanut itsensä järjestelmässä ja voi suorittaa sen tarjoamia toimintoja. Istunto muodostuu tunnistautumisesta ja sen aikana säilyvästä käyttöoikeudesta, ja se päättyy uloskirjautumiseen, istunnon aikakatkaisuun tai automaattiseen vanhentumiseen.

Käyttäjäistuntoa ylläpidetään yleensä session ID:n avulla. Tunniste voidaan tallentaa selaimen evästeeseen, paikalliseen tallennukseen tai mobiilisovelluksen tallennukseen, ja jokainen pyyntö sisältää tunnisteen, jonka perusteella palvelin löytää käyttäjän istunnon tilan. Palvelin voi uudelleenvaltuuttaa istunnon toimilla, kuten päivittämällä voimassaoloaikaa aktiivisen käytön aikana.

Istunnot voivat olla serveripuolen (stateful) tai token-pohjaisia (stateless) ratkaisuja. Serveripuolen istunto säilyttää tilan palvelimella, kun taas token-pohjaisissa ratkaisuissa tilan hallinta siirtyy asiakkaalle esimerkiksi JSON Web Tokenin avulla.

Turvallisuus on olennainen osa käyttäjäistuntojen hallintaa. Istuntojen suojaamiseen käytetään esimerkiksi HttpOnly- ja Secure-evästeitä, SameSite-asetuksia, säännöllistä istunnon kierrätystä sekä lyhyitä vanhenemisajoja. Tunnusten väärinkäyttöä torjutaan myös monivaiheisella tunnistuksella ja TLS-yhteyksillä.

Käyttäjäistuntoja käytetään laajalti web-sovelluksissa, mobiili- ja API-rajapinnoissa, joissa on tärkeää säilyttää käyttäjän autentikoidut tilat.