flaskのsessionを用いたログイン機能,セッションの仕組みについて

Question

https://ymgsapo.com/2019/09/21/flask-session/
上記のサイトのコピペです。

from flask import Flask, render_template, session, request, redirect
 
app = Flask(__name__)
 
app.secret_key = "aaa"
 
user_data = {}
 
 
@app.route("/", methods=["GET"])
def index():
    if "flag" in session and session["flag"]:
        msg = "hello,"+str(session["uid"])
        return render_template("index.html",
                               title="ログイン後の画面です",
                               message=msg)
    else:
        return redirect("/login")
 
 
@app.route('/login', methods=['GET'])
def login():
    return render_template("login.html",
                           title="ログインページ",
                           message="以下のフォームからログインしてね")
 
 
@app.route('/login', methods=['POST'])
def login_post():
    uid = request.form["uid"]
    pwd = request.form["pwd"]
 
    #ユーザが登録済みであった場合
    if uid in user_data:
        # IDとパスワードの組み合わせが合っていれば、ログイン済みにする
        if user_data[uid] == pwd:
            session["flag"] = True
        #　ログイン済みにしない
        else:
            session["flag"] = False
    #ユーザが登録していなかった場合、登録してログイン済みにする
    else:
        user_data[uid] = pwd
        session["flag"] = True
 
    session["uid"] = uid
 
    if session["flag"]:
        return redirect("/")
    else:
        return render_template("login.html",
                               title="ログインページ",
                               message="パスワードが違います")
 
 
@app.route('/logout')
def logout():
    session.pop('uid', None)
    session.pop("flag", None)
    return redirect("/")

上記のコードは①ユーザーがid,pwを送信→ログイン完了、②session["flag"]=trueに変更、③以降のリクエストでsession(辞書)にflagキーがあるか、またvalueがtrueならばログインしている状態とするという流れだと思います。
そこで質問があります。
サーバー側のセッションの管理方法についてです。セッションというのはサーバー側に管理されている情報(cookieはブラウザ)だと認識しています。その場合、session["flag"]は、誰か一人のユーザーがログインしたらtrueになり、全てのユーザーが認証されてしまうのでは？と思いました。勿論実際そんなことはないと思うので、sessionというのはユーザー毎に固有のデータ(つまりユーザーAがログインして、session["flag"]はtrueになるが、それはあくまでユーザーAと紐づいたsession["flag"]がtrueということになりますが、sessionがサーバー側に保存された情報で、pythonのコードからもsession["flag"]でアクセスしているのに、なぜユーザー毎に別々で管理できるのでしょうか？
初歩的な質問かもしれませんがよろしくお願いします。

Comments

[Zuishin]

https://teratail.com/questions/341207

質問が放置されています。
解決したならベストアンサーを選んでください。
していないなら質問を編集して何を求めているのかを追記してください。

Answer 1

まずは調べてみてください。公式ページにも session について記述があります。

https://flask.palletsprojects.com/en/2.0.x/quickstart/#sessions

This is implemented on top of cookies for you and signs the cookies cryptographically. What this means is that the user could look at the contents of your cookie but not modify it, unless they know the secret key used for signing.

Comments

[rm11_j]

ありがとうございます。読んでみました。
ブラウザのクッキーに保存されているが、キーで署名されているためデータ(session["flag"])はユーザーの手元にあるが修正ができないということでしょうか？

[mather]

はい