Sesjonsidentiteter

Sesjonsidentiteter refererer til unike identifikatorer som tildeles en brukersesjon av en server for å opprettholde tilstand mellom forespørsler i et statsløst protokollmiljø som HTTP. En sesjons-ID gjør det mulig å gjenkjenne en bruker og koble forespørsler til autentiserte data, preferanser og handlelogikk som er lagret på serveren.

Vanligst lagres sesjonsidentiteten som en cookie på klienten, men den kan også sendes som et token i en autorisasjonsheader. Identifikatoren peker til en datastruktur på serversiden som inneholder tilstandsdata som autentisering, rolle, innstillinger og handlelogikk mellom forespørsler.

Livssyklusen begynner når en identifikator opprettes, ofte ved innlogging. For påfølgende forespørsler sendes ID-en sammen med forespørselen, slik at serveren kan hente tilhørende sesjonsdata. Sesjonen utløper etter definert tid (inaktivitet eller statisk levetid) og kan roteres for å begrense risikoen for misbruk. Når brukeren logger ut, eller når sesjonen utløper, blir identifikatoren ugyldig.

Implementasjonsmodeller varierer. En tradisjonell tilnærming bruker serverbaserte sesjoner hvor data lagres i serverens minne eller et databasebasert sesjonslager, mens klienten kun har ID-en. Token-baserte tilnærminger kan være statsløse og bruke JWT- eller lignende tokens som autentiseringsbærer, ofte med separate tilgangs- og oppfriskningstokens og minimal serverlagring.

Sikkerhet og personvern er sentralt. Bruk sikre og HttpOnly cookies, SameSite-attributter, TLS-kryptering, korte levetider, og regelmessig vurdering av tilgangsmønstre for å forhindre sesjonshijacking og gjenbruk. Ved logout og utløp må sesjonen oppheves for å hindre misbruk.