HTTP-сессия
Определение
HTTP-сессия — хранимое приложением состояние, связывающее последовательность независимых HTTP-запросов с одним пользователем и набором прав.
Также ищут: HTTP session · web session · пользовательская сессия · application session
Зачем это знать
Тот, кто получил действующий идентификатор сессии, часто получает права пользователя до истечения срока или отзыва на сервере.
Карта понятия
Что подтверждено
HTTP сам не хранит состояние между запросами; приложение узнаёт сессию по идентификатору, передаваемому между браузером и сервером.
Граница применимости: Модель пользовательской сессии веб-приложения.
Идентификатор сессии должен быть непредсказуемым и не содержать конфиденциальных данных; само состояние хранится и защищается на сервере.
Граница применимости: Свойства идентификатора сессии.
Что проверить
- Используйте случайный идентификатор.
- Храните состояние на сервере.
- Ограничьте срок простоя и общий срок сессии.
Первоисточники
- HTTP Semantics
Определяет stateless HTTP, origin server, intermediaries, target URI и security significance полей authority и Host.
Утверждения: 01
- Session Management Cheat Sheet
Описывает entropy, cookie transport, renewal после privilege change, timeouts, logout и server-side invalidation sessions.