SitzungsID

SitzungsID ist eine eindeutige Kennung, die einer Benutzersitzung in Computersystemen oder Webanwendungen zugewiesen wird, um den Zustand zwischen einzelnen Anfragen zu erhalten. Da HTTP stateless ist, erlaubt sie dem Server, Benutzerdaten wie Anmeldestatus, Berechtigungen oder einen Warenkorb über mehrere Seitenaufrufe hinweg zu referenzieren, ohne die Daten in jeder Anfrage neuzustellen.

Die Kennung wird typischerweise vom Server erzeugt und dem Client als Cookie übermittelt. In einigen älteren oder speziellen Szenarien kann sie auch als URL-Parameter oder als verstecktes Feld in Formularen übertragen werden. Cookies sind der Standardweg; Sicherheit wird durch HttpOnly- und Secure-Flags sowie SameSite-Attribute unterstützt.

Der Lebenszyklus einer SitzungsID beginnt mit der initialen Anfrage oder dem Login, folgt dann dem Benutzer durch die Anwendung und endet mit Logout, abgelaufener Zeit oder Inaktivität. Die Zuordnung der ID erfolgt serverseitig in einem Session-Store oder einer Datenbank; bei verteilten Systemen kann eine zentrale oder verteilte Speicherung genutzt werden.

Sicherheitsaspekte umfassen die Verwendung starker, zufälliger Tokens, regelmäßige ID-Generierung nach privilegierten Änderungen, kurze Ablaufzeiten, Schutz gegen Sitzungsfixierung und CSRF sowie Minimierung der übertragung relevanten Daten in der ID. URL-basierte SitzungsIDs sollten vermieden oder zusätzlich abgesichert werden.

Es gibt Alternativen wie tokenbasierte Authentisierung mit JWT, wobei der Server weniger Sitzungen verwaltet. In verteilten Architekturen kann eine URL- oder Cookie-basierte Sitzungs-ID durch ein zentrales Cache- oder Datenbanksystem ersetzt werden.

In der Praxis lässt sich die SitzungsID nach Architektur und Anforderungen gestalten, einschließlich Dauer der Gültigkeit und Speichermethoden.