クッキーとは？セッションとの違いをわかりやすく説明｜初心者でも理解できるWebクッキーの基本

新人と先輩の会話形式で理解しよう

新人

「Webアプリでよく聞く『クッキー』って具体的には何なんでしょうか？」

先輩

「クッキーとは、ユーザーのブラウザに保存される小さなデータファイルのことで、ユーザー情報や設定などを一時的に保持しておくために使われます。」

新人

「なるほど。でも、セッションとどう違うんですか？」

先輩

「簡単に言うと、クッキーはユーザーのブラウザ側に保存されるのに対して、セッションはサーバー側でユーザーの状態を管理する仕組みです。両方を組み合わせて使うことで、ユーザー体験を向上させていますよ。」

新人

「それじゃあ、クッキーの仕組みや使い方を具体的に教えてください！」

先輩

「もちろんです。これから詳しく説明しますね。」

1. クッキーとは何か？基本的な説明

クッキーとは、Webブラウザに保存される小さなテキストデータのことです。ユーザーごとに識別子や設定情報を保存し、次回アクセス時にそれらの情報を利用して、ユーザーの利便性を高める役割があります。

例えば、ログイン状態の保持、ユーザーの言語設定、サイトの表示設定などが挙げられます。クッキーはサーバーがブラウザに送信し、ブラウザが保存。以降のリクエストに自動的にクッキー情報を送るため、サーバーはユーザーを識別できます。

この仕組みにより、HTTPのステートレス性を補い、ユーザー体験の向上に大きく貢献しています。

2. クッキーの役割と仕組み

クッキーは、ユーザーのブラウザに小さなデータを保存し、次回以降のアクセス時にその情報をサーバーに送信します。これにより、サーバーは同じユーザーからの連続したアクセスを識別でき、パーソナライズされた対応が可能になります。

例えば、ECサイトで一度ログインしたユーザーが、次回アクセス時に再度ログイン操作をしなくても済むのはクッキーによる仕組みがあるからです。

Spring MVCでは、HttpServletResponseのaddCookieメソッドを使ってクッキーを簡単に送信できます。以下はクッキーを作成し、ユーザーのブラウザに送信する例です。


@GetMapping("/setCookie")
public String setCookie(HttpServletResponse response) {
    Cookie cookie = new Cookie("userPreference", "darkMode");
    cookie.setMaxAge(7 * 24 * 60 * 60); // 7日間有効
    cookie.setPath("/");
    response.addCookie(cookie);
    return "cookieSet";
}

このコードは、"userPreference"という名前のクッキーを作成し、7日間の有効期限を設定してブラウザに送信しています。クッキーはサーバー側で自由に設定でき、ユーザー体験のカスタマイズに役立ちます。

3. セッションとの違いをわかりやすく解説

クッキーとセッションはどちらもユーザーの状態管理に使われますが、その役割と管理場所が大きく異なります。クッキーはユーザーのブラウザに保存されるデータで、ユーザー側が持つ情報です。一方、セッションはサーバー側で管理され、ユーザーごとに一時的に情報を保持します。

クッキーはブラウザが送るのでユーザーが編集や削除も可能であり、サイズにも制限があります。対してセッションはサーバー側で安全に管理されるため、重要な情報の保存に適しています。

両者は協調して使われることが多く、例えばセッションIDはクッキーに保存され、サーバーはそのIDを元にユーザーのセッション情報を取得します。これにより、ステートレスなHTTPの欠点を補い、連続したユーザー体験を実現します。

まとめると、クッキーはブラウザ側のデータ保存、セッションはサーバー側のユーザー情報管理という違いがあり、それぞれの特徴を理解して適切に使い分けることが重要です。

4. クッキーの使い方（Java/Spring MVCでの簡単な例）

Spring MVCでは、HttpServletResponseを使ってクッキーを作成し、ユーザーのブラウザに送信できます。また、HttpServletRequestから既存のクッキーを取得して利用することも可能です。

以下は、クッキーを設定し、その後取得して表示する簡単なコントローラの例です。


@Controller
public class CookieController {

    @GetMapping("/createCookie")
    public String createCookie(HttpServletResponse response) {
        Cookie cookie = new Cookie("theme", "light");
        cookie.setMaxAge(24 * 60 * 60); // 1日間有効
        cookie.setPath("/");
        response.addCookie(cookie);
        return "cookieCreated";
    }

    @GetMapping("/readCookie")
    public String readCookie(@CookieValue(value = "theme", defaultValue = "default") String theme, Model model) {
        model.addAttribute("theme", theme);
        return "showTheme";
    }
}

この例では、createCookieメソッドで"theme"という名前のクッキーを作成し1日間保持します。readCookieメソッドでは@CookieValueアノテーションを使い、クッキーの値を取得し、画面に渡しています。

クッキーを利用すると、ユーザーの設定や好みに合わせて動的にWebページをカスタマイズできるので、ユーザー体験の向上に役立ちます。

5. クッキーの安全な管理方法

クッキーはユーザーのブラウザに保存されるため、悪意ある第三者による不正アクセスや改ざんのリスクがあります。特にログイン情報や個人情報をクッキーに保存する場合は注意が必要です。

安全なクッキー管理のポイントは以下の通りです。

Secure属性：HTTPS接続時のみクッキーを送信するように設定し、中間者攻撃を防ぎます。
HttpOnly属性：JavaScriptからのアクセスを禁止し、クロスサイトスクリプティング（XSS）攻撃を防止します。
SameSite属性：クロスサイトリクエストフォージェリ（CSRF）攻撃を軽減するために、クッキーの送信範囲を制限します。
クッキーの暗号化：重要なデータは暗号化して保存し、漏洩時のリスクを減らします。

Spring MVCでSecure属性やHttpOnly属性を設定する例を紹介します。


@GetMapping("/setSecureCookie")
public String setSecureCookie(HttpServletResponse response) {
    Cookie cookie = new Cookie("sessionToken", "abc123securetoken");
    cookie.setMaxAge(60 * 60); // 1時間
    cookie.setHttpOnly(true);
    cookie.setSecure(true);
    cookie.setPath("/");
    response.addCookie(cookie);
    return "secureCookieSet";
}

上記の例では、HttpOnlyとSecure属性を設定し、安全性を高めています。これにより、JavaScriptからのアクセスが禁止され、HTTPS通信時のみクッキーが送信されます。

また、SameSite属性はServlet APIのバージョンによって設定方法が異なりますが、可能であれば設定を推奨します。これらの対策はWebアプリのセキュリティ向上に不可欠です。

まとめると、クッキーは便利ですが安全管理を怠るとリスクがあるため、適切な属性設定と暗号化を行い、安全な運用を心がけましょう。

6. クッキーを使った実践的なWebアプリでの活用例

クッキーはユーザー体験を向上させるために多くのWebアプリで活用されています。例えば、ECサイトでのショッピングカートの状態保持や、ユーザーの言語設定の保存、テーマカラーのカスタマイズなどが挙げられます。

Spring MVCで実際にユーザーの訪問回数をクッキーで管理する例を見てみましょう。訪問回数をクッキーに保存し、画面に表示する簡単な実装です。


@Controller
public class VisitCountController {

    @GetMapping("/visit")
    public String visit(HttpServletRequest request, HttpServletResponse response, Model model) {
        Cookie[] cookies = request.getCookies();
        int visitCount = 0;
        if (cookies != null) {
            for (Cookie cookie : cookies) {
                if ("visitCount".equals(cookie.getName())) {
                    visitCount = Integer.parseInt(cookie.getValue());
                }
            }
        }
        visitCount++;
        Cookie visitCookie = new Cookie("visitCount", Integer.toString(visitCount));
        visitCookie.setMaxAge(24 * 60 * 60); // 1日間有効
        visitCookie.setPath("/");
        response.addCookie(visitCookie);
        model.addAttribute("visitCount", visitCount);
        return "visitPage";
    }
}

このコードはユーザーの訪問回数をカウントし、クッキーに保存します。次回アクセス時にクッキーから訪問回数を取得して表示できるため、ユーザーにパーソナライズされた情報を提供できます。

このようにクッキーを活用することで、ユーザーの利便性が高まり、Webアプリの魅力を増すことが可能です。

7. クッキー管理のよくあるトラブルと解決策

クッキーを使う際にはいくつか注意すべきトラブルがあります。代表的なものとその対策を解説します。

クッキーが保存されない／読めない
クッキーがブラウザに保存されない場合、パス設定やドメイン設定が正しいか、またはブラウザの設定でクッキーを拒否していないかを確認してください。
Spring MVCでクッキーのパスを明示的に設定することで解決できることが多いです。
クッキーのサイズ制限オーバー
クッキーにはサイズ制限（通常4KB）があり、大きなデータは保存できません。大容量データはセッションやデータベースで管理し、クッキーには識別子のみを保存しましょう。
クッキーの有効期限切れ
クッキーの有効期限を適切に設定しないと、期待したタイミングで消えてしまいます。特に長期間保存したい場合はsetMaxAgeを長く設定してください。
セキュリティリスク
XSSやCSRF攻撃のリスクを考慮し、HttpOnly、Secure、SameSite属性を適切に設定し、重要な情報はクッキーに保存しないようにしましょう。