webアプリケーションを k3s 環境へ移行した際にセッション管理が問題となりログインできない事象があったのでセッションについて勉強してみた

❓ そもそもセッションとは

いろいろ文献があったけど Oracleさんの記事が一番しっくりきましたので紹介します

セッションを利用することでユーザーの状況を追跡することができる。本来ユーザーの情報は保持していないステートレスな状態が多く、セッションを使うことでこれらの情報を保持し追跡可能にする。

Oracleさんの言葉をそのまま引用

セッションとは、ある期間中に同じクライアントから出される一連の関連性のあるブラウザリクエストのこと。

👀 セッションの仕組み

クライアントサイド(ブラウザ) とサーバサイド(WebApplication) 通信方式はHTTP通信を使う

通常HTTP 通信にはセッションを維持する仕組みは存在しないが、クライアントとサーバサイドで SESSIONID を連携することでセッションを維持している。

連携の仕方は主に2種類

セッションのライフサイクルにおいてリクエスト ~ レスポンスは以下の様になっている

Spring Security は処理の中でセッションのライフサイクルを管理している様子

高速なアクセスが求められるセッションデータと、メモリベースのRedisは相性が良い
- セッションはWebリクエストごとに頻繁に読み書きされるため、低レイテンシかつ高スループットなストレージが求められる
- Redisはメモリ上で動作し、Diskや通常のRDBMSと比較してI/Oオーバーヘッドが極めて小さい
- → ディスク < CPU < メモリの順でI/O速度が速く、セッション管理に適している
セッションは「一時的」なデータであり、揮発性のRedisと用途がマッチする
- セッションは、一定期間のリクエスト間で一時的に関連情報を保持するための仕組み（例：ログイン状態、ユーザーIDなど）
- セッションは一定時間アクセスがなければ破棄されるべきものであり、永続性はそこまで求められない
- Redisの揮発性（TTL付きキーやメモリ破棄）と、この一時性の要求がうまくマッチする
RedisはTTLを自然に使えるので、セッションの有効期限管理と自動削除が簡単