セッションとは

セッションは、利用者とシステムの間の一連のやり取りを、ひとまとまりとして扱う単位のことです。Web では、ページを移動してもログインした状態やカートの中身を保つために使われます。

Web での仕組み

HTTP は、リクエストごとに前のやり取りを覚えていない仕組みです。そこでサーバーは、ログインなどのときにセッション ID という推測されにくい文字列を発行し、Cookie で利用者のブラウザーに渡します。以降のリクエストでは、ブラウザーが送るセッション ID を手がかりに、サーバーが同じ利用者だと判断します。

セキュリティ上の注意

• セッション ID を盗まれると、パスワードを知らなくても本人になりすませる（セッションハイジャック）
• Cookie に Secure・HttpOnly・SameSite の属性を付け、HTTPS でだけ送る
• ログインの前後でセッション ID を作り直す（ログイン前の ID を使い回すと、攻撃者に固定される危険がある）
• 一定時間操作がなければ無効にし、ログアウトでサーバー側の情報も消す
• XSS があると Cookie を盗まれやすいため、あわせて対策する

ほかの使われ方

AI のチャットでは会話のひとまとまりを、SSH やリモート接続では接続している間を、それぞれセッションと呼びます。いずれも「始まりから終わりまでの一連のやり取り」という意味です。

関連用語

Cookie、セッションハイジャック、認証、JWT