セッションスコープに保存されたオブジェクトは、サーバ側とクライアント側のどちらですか？

Question

プログラミング経験1年半のものです。
前回先輩から次のような質問をされました。

「セッションスコープに保存されたオブジェクトは、サーバ側とクライアント側のどちらですか？」

サーブレットのセッション管理のことなのかなと思い調べているのですが、正確な答えを確認できていません。HTTPsessionも調べています。

もしわかる方がいらっしゃれば教えて頂きたいと思います。

Answer 1

保存されたオブジェクトが存在するのは、サーバ側ですね。
サーバはセッションIDという一意な文字列を生成し、このセッションIDに紐付ける形でオブジェクトをサーバ上に保存します。

そして、サーバからクライアントに対して、「あなたのセッションIDはコレですよ。以降の通信ではこのセッションIDを使用してくださいね。」と教えてあげます。

クライアントはサーバから教えてもらったセッションIDを以降の通信(リクエストヘッダ)に乗せて通信を行います。
サーバはクライアントから送られてくるセッションIDを用いて、以前保存した情報との紐付けを解決します。

Comments

[k499778]

applepenguinさん
回答ありがとうございます！
サーバー側なんですね。わかってよかったです。

ちなみに
HttpSession session = req.getSession();
がjavaに書くから、サーバー側にオブジェクトが存在する。
という考え方は間違っていますか？

下記リンク。サーブレットのソース参照。
http://ash.jp/java/webapp_scope.htm

[退会済みユーザー]

サーバ側にデータ(オブジェクト)を保存したいから、
HttpSession session = req.getSession(); を書くというのが正しいかもしれません。

HttpSession session = req.getSession();のタイミングで、
サーバはセッションIDを生成します。

そして、そのセッションに対して
session.setAttribute("KEY","データ"); を実行することで、
セッションに情報を紐付けることができます。

セッションを用いる例として、ショッピングカートの例がよくありますよね。
買い物カゴに入れた商品をセッションに保存しておくことで、リクエストをまたいで
情報を引き継ぐことができます。

もし、セッションを用いずにショッピングカートを実現しようとすると、
以前ショッピングカートに追加した商品を、すべてのリクエストに引き継いで持たせないといけません。

[k499778]

applepenguinさん
追加質問失礼しました。お気遣いのほど感謝しています。
追加回答ありがとうございます。

そうですね。私もニュアンスとしては

> サーバ側にデータ(オブジェクト)を保存したいから、
> HttpSession session = req.getSession(); を書くというのが正しいかもしれません。

の通りだったのですが、
聞き方を少し間違えたなと思っていました。

サーバ側かクライアント側かの確かめ方として
HttpSession session = req.getSession(); を Javaに書くからサーバ側だと確認できる。という考え方は合っているか。

と伝えたかったのですが、大雑把に聞きすぎてしまったと思います。

概念があるからjavaに書く。というのは理解していたのですが、
javaに書くからそういった概念になる。のような聞き方をしてしまいました。

そうなんですね！私もそれで私の認識もあっていると確認できたのでうれしいです。

ショッピングカートの例私も見ました。いろいろとアドバイスありがとうございます。
もう少し勉強します。

Answer 2

req.getSession();

この部分で内部的にやっていることを、よく意識するとよいです。
おおまかな処理の流れはおそらく以下のようになっているはずです。

1. reqに送られてきてHTTPリクエストヘッダに含まれるCookieのうち、そのアプリケーションのセッションID名に対応する文字列（＝セッションID）を取得する
2. 内部のデータベース(もしくはメモリ)を参照し、1で取得したセッションIDに一致するセッションデータを探す
3. 正しいデータがあれば返す。 （なければおそらくnullとかが返るんでしょう）

と、こんなところです。

Comments

[k499778]

AknEpさん
追加回答ありがとうございます。

なるほど。ソースではそこを意識して内部的にやっていることを追えばいいのですね。
今セッション管理の仕組みの画像を見たりして理解を深めております。

参考にさせていただきます。

Answer 3

一般には applepenguin さんが回答されている通りですが、Ruby on Railsのデフォルト設定であるCookieStoreの場合だと、暗号化したセッション情報をクライアント側に保存し、サーバー側で展開していますね。そういう例もありますということで。

ちなみに

HttpSession session = req.getSession();
がjavaに書くから、サーバー側にオブジェクトが存在する。
という考え方は間違っていますか？

それは間違っています。
HTTPにおけるCookieの仕組み、リクエストヘッダとレスポンスヘッダの存在、サーバーサイドにおけるデータの永続化はどうなっているか（オンメモリ, DB, etc...) について掘り下げて理解した方がいいですね。

Comments

[k499778]

AknEpさん
回答ありがとうございます。

私の環境はJavaなのでapplepenguinさんから教えて頂いた理解でとりあえずいいのかなと思っていますが、Rubyだとそういった例もあるんですね！

そうでしたか。
もしそうなら具体的に確認できるので理解しやすいなと思いましたが
少し違うようですね。仕組みや概念的なところをもう少し勉強してみます。

AknEpさん感謝しています。