Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
sessionとcookieが多分わかる資料
Search
Yoshiki Kobayashi
May 29, 2020
Programming
11
12k
sessionとcookieが多分わかる資料
Yoshiki Kobayashi
May 29, 2020
Tweet
Share
More Decks by Yoshiki Kobayashi
See All by Yoshiki Kobayashi
エンジニアとして生きていくために在学中に多分やっておいた方が良いこと
yoshi0202
1
440
ターミナル操作が多分早くなるtmuxのすゝめ
yoshi0202
0
680
サーバレスアーキテクチャでLINE BOTが多分作れるようになるハンズオン
yoshi0202
0
930
サーバ構築の勘所が多分わかるハンズオン
yoshi0202
0
370
Dockerのことが多分わかるハンズオン
yoshi0202
43
18k
Other Decks in Programming
See All in Programming
猫と暮らすネットワークカメラ生活🐈 ~Vision frameworkでペットを愛でよう~ / iOSDC Japan 2025
yutailang0119
0
220
Conquering Massive Traffic Spikes in Ruby Applications with Pitchfork
riseshia
0
150
ИИ-Агенты в каждый дом – Алексей Порядин, PythoNN
sobolevn
0
150
CSC305 Lecture 01
javiergs
PRO
1
400
Playwrightはどのようにクロスブラウザをサポートしているのか
yotahada3
7
2.3k
詳しくない分野でのVibe Codingで困ったことと学び/vibe-coding-in-unfamiliar-area
shibayu36
3
4.4k
あなたの知らない「動画広告」の世界 - iOSDC Japan 2025
ukitaka
0
380
デミカツ切り抜きで面倒くさいことはPythonにやらせよう
aokswork3
0
190
Local Peer-to-Peer APIはどのように使われていくのか?
hal_spidernight
2
450
タスクの特性や不確実性に応じた最適な作業スタイルの選択(ペアプロ・モブプロ・ソロプロ)と実践 / Optimal Work Style Selection: Pair, Mob, or Solo Programming.
honyanya
3
140
Breaking Up with Big ViewModels — Without Breaking Your Architecture (droidcon Berlin 2025)
steliosf
PRO
1
330
Django Ninja による API 開発効率化とリプレースの実践
kashewnuts
0
930
Featured
See All Featured
jQuery: Nuts, Bolts and Bling
dougneiner
64
7.9k
Designing Dashboards & Data Visualisations in Web Apps
destraynor
231
53k
Thoughts on Productivity
jonyablonski
70
4.9k
Intergalactic Javascript Robots from Outer Space
tanoku
273
27k
Reflections from 52 weeks, 52 projects
jeffersonlam
352
21k
Unsuck your backbone
ammeep
671
58k
The Web Performance Landscape in 2024 [PerfNow 2024]
tammyeverts
9
850
It's Worth the Effort
3n
187
28k
How STYLIGHT went responsive
nonsquared
100
5.8k
Git: the NoSQL Database
bkeepers
PRO
431
66k
Automating Front-end Workflow
addyosmani
1371
200k
CSS Pre-Processors: Stylus, Less & Sass
bermonpainter
358
30k
Transcript
sessionとcookieが 多分わかる資料 Yoshiki Kobayashi 2020/05/29 1
この資料に書いてあること • sessionのきほん • cookieのきほん • それぞれの利用用途 • 基本的な使い方 2
この資料に書いてないこと • secureとか • CSRFとか • 細かいセキュリティとか • 上手な日本語 3
sessionのきほん の前に… 4
httpの ステートレス通信 について 5
ステートレス通信 って何 6
通信元の情報が わからない そもそもhttpの通信は 7
例 僕の情報ください 私の情報! 僕の情報も! Aさん Bさん Cさん 誰が誰か わかんないんだよ なぁ…
サーバ君 8
sessionを 利用することで… 9
ステートフルに 通信することができる 10
例 僕の情報ください 私の情報! 僕の情報も! Aさん Bさん Cさん 識別子があるから どこからの通信か わかる〜
サーバ君 各自の識別子 Aさん:a Bさん:b Cさん:c +Aさんの識別子 [a] +Bさんの識別子 [b] +Cさんの識別子 [c] 11
これが sessionの基本 12
sessionは基本的に サーバ側で管理される 13
でも、、、 14
ユーザを判別する 識別子は どこに保存するの DB?メモリ? それともファイル? 15
再掲 →これ 僕の情報ください 私の情報! 僕の情報も! Aさん Bさん Cさん 識別子があるから どこからの通信か
わかる〜 サーバ君 各自の識別子 Aさん:a Bさん:b Cさん:c +Aさんの識別子 [a] +Bさんの識別子 [b] +Cさんの識別子 [c] 16
ここからCookieの話 の前に、、、 17
ぶっちゃけ Cookieて何 18
Cookieとは マジッククッキーの一種であり、RFC 6265な どで定義されたHTTPにおけるウェブサーバ とウェブブラウザ間で状態を管理する通信プ ロトコル、またそこで用いられるウェブブラウ ザに保存された情報のことを指す。 by wikipedia 19
は? 20
ブラウザに 好きなデータが 保存して使えるよ! ってこと つまり簡単に言うと 21
制限は色々あるけどね 22
Cookieを踏まえて sessionを考えてみると 23
サーバで識別子を払い 出して、ブラウザの Cookieに保存しちゃえ ばいいんじゃね? 24
具体例 ログイン画面で ログインしてくれ 自分のログイン情報と一緒 にログインするよ ID/PASSWORD Aさん ログイン成功や! Aさんの識別子発行するやで! token/abcdefg
Aさんはログイン中 というステータスを サーバで管理 返却されたtokenを Aさんのブラウザ Cookieにセット 25
具体例 Aさん 僕の情報ちょうだい! リクエスト+token/abcdefg Cookieにセットさ れたtokenをリクエ ストに付与 Aさんからの通信やな! Aさんの情報だけ返却するで! Aさんの情報を返却
token情報からAさ んのログイン状態 を照合 26
具体例(ログインしていない場合) Aさん 僕の情報ちょうだい! リクエストのみ だれからの通信かわからんな … ログインしてないようだ (例えば)ログイン画面を返却するなど token情報がなく誰 からの通信か
わからない 27
ステートフル通信 28
まとめると • Cookieとは、ブラウザが持っている好きなデータを貯められるストア • JavaScriptで設定することができる • サーバからのレスポンスで自動で設定することもできる • Sessionとは、サーバ側で保持しているデータ •
ステートレスであるhttp通信をステートレスにするために用いられる (ことが多い) • SessionにはID(前述したToken)があり、ユーザのCookieで管理する方法、 DBで管理する方法など様々ある 29
実際に どんな感じで設定されるか 見てみよう 30
我らのRoomingログイン画面 31
ログインすると・・・ 32
Cookieが設定される ここの[_app_session]っていうのが、Rails側で払い出されたsession_id ※クッキー名[Rooming]はsession用のCookieでは無い 33
コードで言うとこの部分 sessionの中に[userId]っていうキーを持ち、 user.idを代入してる 34
Railsからのレスポンスを見てみよう これがsession_id HttpOnlyをつけて JSから抜き出せないよ うにしてる Set-Cookieっていうヘッ ダーがついたレスポン スが返却されると、自動 でCookieが設定される 35
JSでCookieを取得してみよう HttpOnlyが付いていないCookieに関しては 取得することができている 36
ん? 37
結局JSから 操作できないんか? 38
JSで取得できないなら axiosでどうやって 送ったらええの? 39
再掲 Aさん 僕の情報ちょうだい! リクエスト+token/abcdefg Cookieにセットさ れたtokenをリクエ ストに付与 Aさんからの通信やな! Aさんの情報だけ返却するで! Aさんの情報を返却
token情報からAさ んのログイン状態 を照合 40
これできなくね? 41
一部の条件下であれば できました 42
コードで言うとこの部分 オプションに[withCredentials]を付与。ヘッダーにAllow-Originを追加 すると、自動でCookie内のsession_idが付与されてリクエストが送信される 43
リクエストするときにCookieが設定される ヘッダーからマイページアイコンを押したときの処理(ユーザID取得関数) 自動的にCookieがリクエストに付与されて、Rails側で処理されてる 44
コードで言うとこの部分 送られてきたCookieの中からsession_idをパースして、 userIdの値からfind_by_idを実行している図 45
以上が、 サーバで発行したセッションIDがCookieに 保存されて、 クライアントからのリクエストにセッションID が付与されるまでの仕組み 46
注意 Allow-Origin正しく設定 しないとリクエストもレス ポンスもCookieつかな いよ!!! 47
今日おぼえたこと! • Cookieとはなんぞや • Sessionとはなんぞや • ステートレス、ステートフルとはなんぞや • 結論どうやって使うんや 48
終わり!!!!!! 最後に好きな絵文字で終わります To Be Continued … ? 49