cookieとセッションについて

Question

・認証機能(ログイン機能)が存在しないwebサービスを作るとします。

同一ユーザーかどうかを判断するには、セッションを使うべきですか？
それともCookieを使うべきですか？
理由も同時にご教示いただけると嬉しいです。

Comments

[yambejp]

サーバーサイドの言語は何でしょう？
セッションは往々にしてクッキーに依存しますが・・・

[maisumakun]

どのような目的・どの程度の精度で判定したいのでしょうか。

[ockeghem]

ある意味「同一ユーザーかどうかを判断する」機能が認証機能であるので、認証機能が存在しないのであれば、何をもって「同一ユーザー」と判断するかがわからないと回答できないです。あるいは、maisumakunさんが質問されているように、目的や精度を示していただくかです。

Answer 1

ユーザ情報/ログインステータスはサーバ側で持つべきなので、session を使用しますが、session を使用する場合、session 機構の多くは cookie も使用します。

cookie にユーザ情報/ログインステータスをを入れて判断したいということであれば、cookie は容易に改竄可能であるため、問題となります。

認証機能(ログイン機能)がある場合の回答をしてました^^;

ない場合の質問でしたね。失礼。
一般的には、適当な cookie で処理するケースをよく見かけます。(匿名掲示板とかでよくある実装です)
また、より厳密に判定を行うにあたって、最近は fingerprint 技術も注目をあびています。

ただ、いずれにしても「ユーザ」ではなく「ブラウザ」を特定する技術です。「同一ユーザ」を識別するには、ログインさせて「ユーザ」を識別する以外に方法はありません。

Comments

[退会済みユーザー]

補足：(この補足も勘違い中のものなので、無視してください^^;)
一部のフレームワークは、cookie に暗号化したユーザ情報/ログインステータスを突っ込んでいるケースもあります。

[dog57]

具体的に教えていただきありがとうございました！

[退会済みユーザー]

せっかく質問したのだから、回答する気満々な人たちのリクエストに答え、質問に追記し、掘り下げたほうが面白かったと思いますよ。
私も追記欄にいる人達の回答、見てみたかったしw
ちょっと残念。