セッションIDをクッキーに保存するのはWebサーバの役割ですか？

Question

前提・実現したいこと

初歩的な質問で大変恐縮なのですが、誰がセッションIDをCookieに保存しているのか知りたいです。

発生している問題

以下の環境で作成されたWebアプリケーションのセッション管理方法について、次のようにイメージしているのですが、正しいかどうか自信がありません。

言語：Java
FW：Spring Boot
Webサーバ：Apache
APPサーバ：Tomcat

Webアプリのログイン認証に成功したとき、Apatchがセッションを作成し、クライアントへクッキーを送信している。
Webアプリ側は、Apatchがセッションやクッキーの作成・送信をしてくれるので、特にコードを記述する必要はない。

お手数をおかけしますが、よろしくお願いいたします。

Answer 1

Apacheにはセッションという概念は無いです。

フレームワークを使ったWebシステムの場合は、フレームワークがセッションを管理するのが普通です。
つまり、レスポンスヘッダにセッション管理用のSet-Cookieヘッダを付けるのはフレームワークです。

Comments

[Fur0]

失礼しました。
フレームワークが管理するのですね。今回はSpring Bootを使用しています。しかし、私が探した範囲では、SpringBootはセッション管理をしていない印象でした（Spring Sessionが該当する？）。

[otn]

Apacheとアプリケーションの間のどこかでやっていると思います。

Answer 2

通常、セッションと言えばWebアプリがユーザーを識別するための情報なので、Webアプリ＝Tomcatで動かしているJavaプログラムが作成します。（Basic認証などはApacheでやることが多いです）

Cookieは、Webブラウザがデータを保存する機能です。
サーバはWebブラウザに対してSetCookieという指示とともにセッションIDを送り返します。
セッションIDを受け取ったWebブラウザは、Cookieに保存します。

Comments

[Fur0]

今回はSpring Bootを使用していますが、セッションの生成や管理についての機能も、フレームワーク側で管理してくれるのでしょうか（Spring Sessionというのを見つけたので、これが該当しそう...）。

[gasbombe]

Spring Sessionでいいと思います。ただ、セッション情報を格納するDBが必要なようです。
もしユーザーログイン等があるならそちらと連携させる必要があります。

Answer 3

誰がセッションIDをCookieに保存しているのか知りたいです。

Webクライアント(クライアントのブラウザ等)です。
Cookieに対応していない（またはCookieを無効にしている）ブラウザは保存することができません。

※厳密に言えばブラウザは、単にレスポンスで指定されたCookieを保存しているだけです。
それがセッションIDかどうかは判断していません。

Comments

[Fur0]

セッションIDをクッキーに保存するように指示を出している(レスポンスヘッダにset-cookieを付けている)のはWebサーバの認識ですが、これは正しいでしょうか？また、正しい場合は、これはApacheなどのソフトが自動でやってくれることであり、特に設定不要でしょうか？

[Y.H.]

APPサーバ：Tomcatなら普通はtomcatで動作しているアプリでセッションIDを発行(set-cookie)しているはずです。

[Fur0]

Webアプリ側でセッションIDを発行するのですね！
乱数を使用してセッションIDを生成する命令を記述しないといけないのでしょうか。
もしくは、セッションIDの生成も行うフレームワークがあるのでしょうか（Spring Sessionが該当しそうな気がしています）。