sesjonstokens

Sesjonstoken er en unik identifikator som brukes til å knytte videre forespørsler til en brukers aktive økt mellom klient og server. Tokenet kan være et opaque token eller en strukturert form som et JSON Web Token (JWT). Det utstedes vanligvis etter vellykket pålogging og sendes med hver forespørsel for å bekrefte identitet og tilhørende tilgangsrettigheter.

Form og lagring: I nettapplikasjoner lagres sesjonstoken ofte i en cookie med HttpOnly- og Secure-flagg for å beskytte mot tilgang fra JavaScript og sikre forbindelser. Noen implementasjoner bruker localStorage eller annen klientlagring, noe som øker sårbarheten for XSS. Et opaque token gir serveren begrenset innsikt i innholdet, mens JWT kan bære krav (claims) som identitet og utløp.

Livssyklus: Tokenet har vanligvis en utløpsdato og kan fornyes ved hjelp av en refresh-token eller ved ny innlogging. For rask tilbakekalling av tilgang kan serveren opprettholde en sesjonsdatabase eller en blacklist. I stateless arkitekturer lagres mindre eller ingen state på serveren, og validering skjer ved signatur og nøkkelrotasjon.

Sikkerhet: Overføring bør skje over TLS. HttpOnly-cookie beskytter mot tilgang via klientside skript; SameSite-flagg reduserer CSRF. Kort levetid og regelmessig fornying reduserer risiko ved lekkasje. Ved behov for tilbakekalling kan man bruke revokeringslister eller aktivt oppdatere sessionsstatus.

Forskjeller og designvalg: Noen systemer bruker server-side sesjon med en sesjon-ID som peker til data i en database, mens andre bruker selvstendige tokens som inneholder identitet og rettigheter (stateless). Valg påvirker skalerbarhet, revokerbarhet og behov for serverlagring.