Sitzungszustand

Der Sitzungszustand bezeichnet in der Informatik den Datensatz, der einer Benutzersitzung über mehrere HTTP-Anfragen hinweg zugeordnet wird. Er ermöglicht personalisierte Funktionen wie Authentifizierung, Einstellungen oder Einkaufswagen, obwohl HTTP grundsätzlich zustandslos ist.

Er kann serverseitig oder clientseitig gespeichert werden. Serverseitig liegen Daten im Arbeitsspeicher, in einem State-Server oder in einer Datenbank. Clientseitig werden oft nur eine Session-ID in Cookies oder im lokalen Speicher abgelegt, während der eigentliche Zustand serverseitig referenziert wird. In Web-Frameworks kommen üblicherweise Modi wie In-Proc, StateServer und SQL Server zum Einsatz.

Lebenszyklus: Die Sitzung beginnt mit der ersten Interaktion, erhält eine eindeutige Session-ID, läuft über definierte Timeout-Werte und endet durch Logout oder Inaktivität. Sliding Expiration verlängert den Timeout bei aktiver Nutzung.

Sicherheit: Sitzungsdaten sollten geschützt werden. Maßnahmen sind sichere Cookies, Verschlüsselung, regelmäßige Validierung der Session, Schutz vor Session-Fixation und XSS. Datenschutzaspekte betreffen Datensparsamkeit und Aufbewahrungsfristen.

Herausforderungen und Alternativen: Die Skalierung über mehrere Server hinweg erfordert passende Speicherlösungen oder Token-basierte Ansätze. Stateless-Design mit Tokens wie JWT reduziert serverseitigen Zustand, führt aber zu eigenen Sicherheits- und Architektur-Anforderungen.