Sessiooninumber

Sessiooninumber on yksilöllinen, tilapäinen tunniste, jonka palvelin asettaa käyttäjän istunnon yhteyteen. Sen avulla palvelin voi tunnistaa käyttäjän eri pyyntöjen välillä, jolloin tilaa kuten kirjautumistila, ostoskori tai tekstitallennukset ei tarvitse siirtää jokaisessa pyynnössä erikseen.

Generointi ja säilytys: Sessiooninumber generoidaan yleensä kryptografisesti turvallisella satunnaislukugeneraattorilla ja sen arvo on pitkä ja vaikeasti arvuuttava (usein 128–256 bittiä). Arvoa säilytetään yleisesti asiakkaan evästeessä (cookie) ja sitä käytetään palvelimen tilamuistin tai tallennetun istuntotiedon hakemiseen. Toisinaan sitä välitetään myös muulla tavoin, mutta URL-parametrit ovat yleensä välttämettyjä turvallisuussyistä.

Käyttötarkoitus ja hallinta: Sessiooninumeron avulla palvelin voi säilyttää käyttäjän tilan usean pyynnön välillä. Istunto voi päättyä kirjautumisen yhteydessä, sulkeutua aikakatkaisulla tai käyttäjän sulkeutuessa selaimesta.

Turvallisuus: Suositellaan käyttämään TLS/HTTPS-yhteyksiä, asettamaan evästeelle HttpOnly, Secure ja SameSite-attribuutit sekä uusimalla tunniste kirjautumisen yhteydessä (sessioiden uudelleenluominen). Vaaratekijöitä ovat istunnon sieppaus (session hijacking), istunnon kiinnitys (session fixation) ja XSS-tuntemukset, jotka voivat vuotaa tunnisteen, jos sitä ei rajoiteta.

Esimerkkejä: Useimmissa ohjelmointikielissä ja kehyksissä on sisäänrakennettu tuki sessioiden ylläpitämiseen; esimerkiksi PHP:n session_id() ja session_start(), Java Servlet -ympäristössä JSESSIONID, Node.js: express-session.