セッションとは？初心者向けにやさしく解説｜Webセッション管理の基本と仕組み

新人と先輩の会話形式で理解しよう

新人

「Webアプリケーションでよく聞く『セッション』って、具体的には何のことですか？」

先輩

「セッションとは、ユーザーがWebサイトを訪れてから離れるまでの間、サーバーがユーザーの状態や情報を一時的に保持する仕組みのことです。例えばログイン状態やショッピングカートの中身などを管理するのに使われます。」

新人

「なるほど。でも、なぜセッションが必要なんでしょうか？HTTPってステートレスって聞いたことがあるんですが…」

先輩

「良い質問です。HTTPは本来、1回のリクエスト・レスポンスで完結するステートレスな仕組みなので、接続ごとに状態を保持しません。だからユーザーの情報を持ち越すには別途管理が必要で、そこでセッションが使われるんです。」

新人

「なるほど、セッションがないとログイン状態とか保持できないんですね！」

先輩

「その通り。セッションはWebアプリのユーザビリティや安全性を保つ上で非常に重要な役割を果たしていますよ。」

1. セッションとは何か？（基本的な説明）

セッションとは、ユーザーがWebサイトやWebアプリケーションにアクセスしてから離れるまでの期間を指し、その間にユーザーの情報を一時的にサーバー側で管理する仕組みです。HTTPのリクエストは独立しているため、何度もアクセスしても状態を覚えていません。そのため、ログイン情報やユーザーの操作状況を維持するには、セッションを用いて状態管理を行う必要があります。

例えば、ECサイトで複数の商品をカートに入れる操作をした場合、セッションがなければ何をカートに入れたのか覚えておけません。セッションがあることで、ユーザーの操作を記憶し、快適な操作体験を提供できます。

2. セッションがWebアプリケーションでなぜ必要か？

HTTPはステートレスなプロトコルであるため、各リクエストは独立して処理され、状態を持ちません。つまり、一度のリクエストで完結するため、ユーザーの前回の操作やログイン状態などを知ることができません。

そこで、Webアプリケーションではユーザーの状態を保持するためにセッションを利用します。セッションにユーザー情報や操作状況を保存し、次のリクエストでもその情報を参照できるようにします。これにより、ログイン状態の維持、入力途中のフォームデータの保持、ショッピングカートの内容管理など、多くの機能が実現できます。

このようにセッションは、Webアプリケーションのユーザー体験を向上させるために欠かせない仕組みです。

3. セッションIDとクッキーの関係

セッションは、ユーザーごとに一意の識別子「セッションID」を割り当てることで成り立っています。サーバーはこのセッションIDを使ってユーザーの情報を識別し、管理します。しかし、HTTPはステートレスなので、セッションIDをユーザー側に保持してもらう必要があります。

そこで活躍するのが「クッキー」です。クッキーはユーザーのブラウザに保存される小さなデータで、セッションIDを保存しておく役割を担います。ユーザーが次にアクセスすると、ブラウザはクッキーに保存されたセッションIDをサーバーに送信し、サーバーはそのIDを使って対応するセッション情報を取得します。

つまり、セッションIDとクッキーはセットで機能し、ユーザーの状態管理を実現しているのです。クッキーが無効な場合はURLにセッションIDを付加する方法もありますが、一般的にはクッキーを利用するのが主流です。

この関係を理解することで、セッションの仕組みがよりクリアになります。

4. Spring MVCでのセッション管理の基本的な仕組み

Spring MVCでは、Java Servletのセッション機能を使い、HttpSessionオブジェクトを通じてセッション管理を行います。HttpSessionはユーザーごとに作成され、サーバー側でユーザー情報を保持できます。

コントローラのメソッドでHttpSessionを引数に指定するだけで簡単にセッション情報を操作可能です。以下の例は、ユーザー名をセッションに保存し、画面で利用する例です。


@Controller
public class SessionController {

    @GetMapping("/setSession")
    public String setSession(HttpSession session) {
        session.setAttribute("userName", "Tanaka");
        return "sessionSet";
    }

    @GetMapping("/getSession")
    public String getSession(HttpSession session, Model model) {
        String userName = (String) session.getAttribute("userName");
        model.addAttribute("userName", userName);
        return "sessionGet";
    }
}

上記のように、HttpSessionのsetAttributeで値を保存し、getAttributeで値を取得します。Spring MVCは自動的にセッションIDのクッキー管理を行うため、開発者は簡単にセッション情報を扱えます。

5. セッションの有効期限と管理方法

セッションは無期限に保持されるわけではなく、通常は一定時間の無操作でタイムアウトし、自動的に破棄されます。この時間を「セッション有効期限」と呼びます。期限切れになると、サーバーはセッション情報を破棄し、新しいセッションIDが発行されます。

Spring MVC（Servletコンテナ）では、セッションの有効期限はデフォルトで30分程度に設定されていることが多いですが、必要に応じて設定を変更できます。設定方法は主に以下の２つがあります。

application.propertiesやapplication.ymlで設定（Spring Boot環境の場合）
Java Configやweb.xmlで設定（Pleiadesのような環境でのカスタム設定）

Pleiades + Gradleの環境でJava Configを使ってセッション有効期限を設定する例を紹介します。


@Configuration
public class WebConfig implements WebMvcConfigurer {

    @Bean
    public ServletListenerRegistrationBean<HttpSessionEventPublisher> httpSessionEventPublisher() {
        return new ServletListenerRegistrationBean<>(new HttpSessionEventPublisher());
    }

    @Bean
    public ServletContextInitializer servletContextInitializer() {
        return servletContext -> {
            servletContext.getSessionCookieConfig().setMaxAge(1800); // 1800秒 = 30分
        };
    }
}

上記の例では、セッションのクッキーの有効期間を1800秒（30分）に設定しています。この設定により、30分間操作がなければセッションは無効になり、再度ログインなどが必要になります。

また、HttpSessionのsetMaxInactiveIntervalメソッドを使うことで個別にセッションの有効期限を設定することも可能です。


@GetMapping("/setCustomTimeout")
public String setCustomTimeout(HttpSession session) {
    session.setMaxInactiveInterval(600); // 600秒 = 10分
    return "timeoutSet";
}

このように、Spring MVCではセッションの有効期限を柔軟に管理でき、セキュリティやユーザー体験のバランスをとることができます。

6. セッションを使った簡単なログイン管理の例

セッションはWebアプリケーションでログイン状態を管理するためによく使われます。ユーザーがログインすると、認証情報をセッションに保存し、その後のリクエストでもログイン状態を保持できます。

以下は、Pleiades＋Gradle環境で@Controllerを使った簡単なログイン処理の例です。ユーザー名をセッションに保存し、ログイン状態を管理します。


@Controller
public class LoginController {

    @GetMapping("/login")
    public String showLoginForm() {
        return "loginForm";
    }

    @PostMapping("/login")
    public String login(@RequestParam String userName, HttpSession session, Model model) {
        if ("user".equals(userName)) {
            // 認証成功：ユーザー名をセッションに保存
            session.setAttribute("userName", userName);
            return "redirect:/welcome";
        } else {
            // 認証失敗：エラーメッセージをモデルに追加
            model.addAttribute("errorMessage", "ユーザー名が正しくありません。");
            return "loginForm";
        }
    }

    @GetMapping("/welcome")
    public String welcome(HttpSession session, Model model) {
        String userName = (String) session.getAttribute("userName");
        if (userName == null) {
            // ログインしていなければログイン画面へリダイレクト
            return "redirect:/login";
        }
        model.addAttribute("userName", userName);
        return "welcome";
    }

    @GetMapping("/logout")
    public String logout(HttpSession session) {
        session.invalidate(); // セッションを無効化してログアウト
        return "redirect:/login";
    }
}

この例では、loginメソッドでユーザー名をチェックし、認証が成功すればセッションにユーザー名を保存します。welcomeメソッドでセッションからユーザー名を取得し、ログイン状態を判定しています。logoutメソッドでセッションを破棄し、ログアウト処理を行います。

このように、セッションを使うことで複数のリクエスト間でユーザーのログイン状態を簡単に管理できます。

7. セッション管理で気をつけるべきセキュリティポイント

セッション管理は便利ですが、セキュリティリスクにも注意が必要です。特に以下のポイントを守ることで安全なセッション管理が可能になります。

セッション固定攻撃への対策
ログイン後にセッションIDを再生成することが重要です。攻撃者に古いセッションIDを利用されるリスクを減らします。
セッションハイジャック対策
クッキーのSecure属性やHttpOnly属性を設定し、不正アクセスを防止します。また、SSL/TLSによる通信の暗号化も必須です。
セッションの有効期限設定
長すぎるセッション有効期限はリスクを高めます。適切なタイムアウト設定で不要なセッションを早めに破棄しましょう。
ログアウト時のセッション破棄
ユーザーがログアウトした際には必ずセッションを無効化して情報をクリアします。

Spring Securityを利用するとこれらのセキュリティ対策がより簡単に実装できますが、手動で実装する場合でも意識して対策を行いましょう。