一般的なユーザー認証システムでは、ユーザーのIDとパスワードが一致しているか確認した後、セッションIDを発行しますが、このセッションIDはDBに保存されるのでしょうか？

シェアしました。

転載元はこちら

2件の回答

Yasuo Ohgaki

回答日: 金曜

一般的なWebシステムで、セッションIDは

• ブラウザのクッキー
• サーバーのデータベース

の両方に保存されます。ブラウザはセッションIDだけ、サーバーはセッションIDとそれに付随するセッション情報（ログイン状態など）を保存します。

一部のWebシステムはセッション情報自体をブラウザのクッキーに保存します。そのまま保存すると改ざんや情報漏洩の危険性があるので、暗号化してクッキーに保存します。サーバーでは暗号化されたセッション情報を復号してセッション状態を復元します。

閲覧数: 66件 · 高評価した人を見る · Agatsuma Yukiさんがリクエストした回答

あなたのフィードバックは公開されません。

回答は役に立ちましたか?

ISOBE Kazuhiko, Agatsuma YukiさんとToru Shimojimaさんが回答を高評価しました

高評価· 34

シェア

おすすめ順すべて

関連するスペース (他の回答は以下)

CodeとJavaScript
JavaScriptとその他言語含む幅広い話題　プログラマのためのスペース　メンバー募集中。
132
フォロー

geekな個人的事情
ギークとしての個人的事情をUPしていきます。
117
フォロー

もっとスペースを探す

ISOBE Kazuhiko, ITシステムエンジニア (1999〜現在)

2時間前に回答しました

認証システムが複数のインスタンスで冗長化されている場合は、Webサーバーとは別にRDBMSやKMSがいて、そこにセッション情報を格納するのが一般的かと思います。

しかし、必ずしも独立したデータベースに保存する必要はありません。何らかの方法で、複数のノード間で情報が共有できれば良い訳です。

認証を専門に行うクラスタ（いわゆるIdP）内のノード間で直接セッション情報を共有するシステムを見たことがあります。これは、認証システムの信頼性や可用性を向上させる目的で、外部のサーバーに依存しない事を目的とした設計なのだと思います。

外部のデータベースを使う方法と比べると、パフォーマンスが犠牲になると思いますが、アプリケーションサーバーのように頻繁にアクセスがあるわけではないため、このような仕組みでもスケールするのでしょう。

閲覧数: 17件 · 高評価した人を見る · Agatsuma Yukiさんがリクエストした回答

あなたのフィードバックは公開されません。

回答は役に立ちましたか?

Agatsuma Yukiさんがこれを高評価しました

高評価· 12

シェア

おすすめ順すべて