Railsでセッション管理を実現する仕組みが分かりません(sessionメソッドのインデックスに固定値(シンボル)が使用されていることについて)

Question

Rails Tutorialの8章で紹介されているsessionメソッドについて、どのようにセッション管理機能を実現しているのか分かりません。
session[:user_id] = user.idといった形でキーとして:user_idシンボルを指定しています。
私の理解ですと、"シンボル=文字列のようなもの"なので、固定値だと考えております。そして、インデックスに固定値を渡しているわけなので、一度に複数のユーザがログインした場合に前のユーザ分のsession内容が上書きされてしまう気がしております。

具体例)
1.ユーザ1が「ログイン」
2.サーバ側でsession[:user_id] = 1が記録される。
3.ユーザ2が「ログイン」
4.サーバ側でsession[:user_id] = 2が記録される。
5.ユーザ1がログイン後の「何かのページ」を見ようとする。
「何かのページ」を見るために送信されるリクエスト内のCookieとしてid=1のような情報が送信される(これは私の推測です。暗号化されててよく分かりません。)
6.サーバ側でsession[:user_id] == 1の照合が行われるが、session[:user_id]は2に上書きされているのでセッションが切れる。

といった挙動になりそうな気がして、混乱しています。
どなたかsessionの仕組みを、教えていただけないでしょうか？

Answer 1

ユーザーごとに別に記憶される値なので、あるユーザーの session[:user_id] とその他のユーザーの session[:user_id] は別の値になります。

具体的な Store がどこにあるかで動作が異なるのですが、例えば一番単純な Cookie を Store と利用する場合、

1. ユーザ1が「ログイン」
2. サーバ側から user_id=1 の Cookie を送信
3. ユーザー1のブラウザは受け取った Cookie を保存
4. ユーザ2が「ログイン」
5. サーバ側から user_id=2 の Cookie を送信
6. ユーザ2のブラウザは受け取った Cookie を保存
7. ユーザー1は保存してあった Cookie をHTTPヘッダーに含めてログイン後の「何かのページ」を見ようとする
8. サーバーは Cookie を確認する ( つまり session[:user_id] はクッキーに書いてある値
9. ユーザー1は user_id=1 を期待するページを見られる

ですね。

他に、例えば Store として Redis を利用する場合は、 session の中身を Cookie に書くのではなく、
session_id というユニークな識別子を書いておき、サーバー側で session_id を使って Redis に session 変数の内容を保存/読み込みします。

Comments

[spiel]

なるほど、クッキーでの実装では、サーバ側で何も情報を持っていないのですね。
非常に分かりやすく教えていただきありがとうございました、とても納得しました。
また、Redisを使用した実装例についても教えていただきありがとうございました！