sessionbaserade

Sessionbaserade refererar till metoder där användarens tillstånd och data lagras under en användarsession, vanligt inom webbapplikationer. I en sådan arkitektur representeras identitet och tillstånd av ett sessions-ID som lagras på klienten, oftast i en cookie, och jämförs mot en serverresurs där sessionen hålls.

Så fungerar det vanligtvis: när användaren autentiserar sig skapar servern en unik sessionspost och skickar sessions-ID:t till klienten. Vid varje efterföljande anrop skickas cookien tillbaka, servern hämtar motsvarande sessiondata (till exempel inloggad användare, behörigheter eller varukorg) och uppdaterar eventuellt data i sessionen. Sessionen avslutas vid utloggning eller när den löper ut genom timeout. För skalning kan sessiondata lagras centralt i minnet (till exempel Redis) eller delas över flera noder, ibland med sticky sessions i lastbalanserare.

Användningsområden och fördelar: sessionbaserade lösningar är vanliga i traditionella webbapplikationer där servern behöver behålla rik bild av användarens tillstånd. De underlättar hantering av autentisering, roller och personligt tillstånd över flera sidladdningar. Nackdelar inkluderar att de är statefula och kräver serverresurser samt kräver strategi för delad lagring vid horisontell skalning och högre risker för överföring eller stöld av sessionsdata.

Säkerhet och praxis: använd säkra cookies (Secure, HttpOnly, SameSite), rotera sessions-ID vid inloggning för att motverka session-fixering, och använd TLS. Begränsa lagrad data och sätt rimliga tidslinjer för timeout. Alternativt kan tokenbaserad autentisering (till exempel JWT) vara stateless och enklare att skala, men erbjuder olika säkerhets- och kontrollmöjligheter.