Sessionsbasierte

Sessionsbasierte Authentifizierung bezeichnet ein Verfahren zur Identifizierung und Autorisierung von Benutzern in Webanwendungen, bei dem der Server für jeden angemeldeten Benutzer einen serverseitigen Sitzungszustand pflegt. Der Client erhält typischerweise einen Sitzungsidentifier in einem Cookie. Bei jeder weiteren Anfrage sendet der Client dieses Cookie; der Server verknüpft den Identifier mit dem entsprechenden Sitzungszustand, der Benutzerdaten, Berechtigungen und Anwendungszustände enthält. Nach dem Login erzeugt der Server eine neue Sitzung, speichert die relevanten Daten in einem Sitzungsstore (oft im Arbeitsspeicher oder in einem verteilten Cache) und gibt dem Client den Sitzungsidentifikator zurück. Sitzungen haben typischerweise eine Ablaufzeit; nach Ablauf erfordert eine erneute Authentifizierung.

Vorteile von sessionbasierter Authentifizierung sind ihre einfache Implementierung in traditionellen Monolithen, eine zentrale Steuerung von Berechtigungen und der Zugriff auf ausführliche serverseitige Benutzerdaten. Herausforderungen ergeben sich vor allem in verteilten Systemen: Skalierung erfordert einen gemeinsamen Sitzungsstore, was Speicher- und Konsistenzprobleme verursachen kann; Lastverteilung kann Sticky Sessions oder zentrale Speicherlösungen erfordern. Sicherheit spielt eine zentrale Rolle: Schutz gegen Session Hijacking und CSRF, Einsatz von Secure- und HttpOnly-Cookies, SameSite-Attributen, kurze Lebensdauer der Sitzungen und regelmäßige Rotation der Session-IDs.

Im Vergleich zu tokenbasierten Ansätzen, die oft stateless arbeiten, speichern Sitzungssysteme Zustand auf dem Server. In modernen Architekturen werden daher häufig hybride Modelle verwendet oder stateless-Authentifizierung mit Tokens bevorzugt. Typische Technologien umfassen serverseitige Sessions in PHP ($_SESSION), Java (HttpSession) und .NET (SessionState), oft ergänzt durch verteilte Stores wie Redis.