はじめに
Webサイトを使っているとき、こんな経験はありませんか？
- ログインしたら、他のページに移動してもログイン状態が続いている
- ショッピングサイトで商品をカートに入れて、別のページを見てもカートの中身が残っている
- 一度ログインしたら、しばらく再ログインを求められない
これらは全て「セッション」という仕組みのおかげです。この記事では、Webサイトがあなたを覚えている仕組みを、図解を使って分かりやすく説明します。
そもそも「セッション」って何？
現実世界で例えてみよう
セッションを理解するために、まず現実世界で例えてみましょう。
図書館での本の貸し出しを想像してください
あなた：「この本を借りたいです」
司書さん：「図書カードを見せてください」
あなた：図書カードを提示
司書さん：「田中さんですね。この本をお貸しします」
（数日後、別の本を借りに来た時）
あなた：「この本も借りたいです」
司書さん：「図書カードを見せてください」
あなた：図書カードを提示
司書さん：「田中さんですね。前回借りた本の返却期限は○○日です。こちらの本もお貸しします」
ここで重要なのは：
- 図書カード = あなたを識別するもの
- 司書さんの記録 = あなたの借用履歴を保存する場所
Webサイトでも同じことが起きている
Webサイトでも、図書館と同じようなことが起きています。
あなた(ブラウザ)：「商品Aをカートに入れたい」
Webサイト：「分かりました。あなた専用の番号をお渡しします」→「ID-12345」
（別のページを見た後）
あなた(ブラウザ)：「カートの中身を見たい」（ID-12345も一緒に送信）
Webサイト：「ID-12345の方ですね。商品Aが入っています」
この「ID-12345」のような番号が セッションID です！
HTTPの「物忘れ」問題
なぜセッションが必要なの？
Webサイトが使っている HTTP という通信方法には、大きな特徴があります。それは「物忘れがひどい」ことです。
HTTPの特徴：ステートレス（状態を覚えない）
リクエスト1：「商品Aをカートに入れて」
Webサーバー：「はい、入れました」（すぐに忘れる）
リクエスト2：「カートの中身を見せて」
Webサーバー：「え？誰のカート？何のこと？」（覚えていない）
これでは困りますよね。そこで セッション の出番です！
セッションの仕組みを図解で理解しよう
1. 初回アクセス時：「初対面」の状態
あなたが初めてWebサイトにアクセスした時
- あなたがWebサイトにアクセス
- Webサイトが「初めての人だな」と認識
- あなた専用の番号（セッションID）を発行：「ABC123」
- この番号をあなたのブラウザに保存（Cookieという小さなメモ）
- サーバーも「ABC123の人は新規ユーザー」と記録
2. 商品をカートに追加：「覚えてもらう」
商品をカートに入れる時
- あなたが商品をカートに追加要求
- ブラウザが自動的に番号「ABC123」も一緒に送信
- Webサイトが「ABC123の人のカートに商品Aを追加」と記録
- 「追加完了」の返事
3. 別のページへ移動：「覚えている」
違うページを見た後、カートを確認
- カート確認のページにアクセス
- ブラウザが自動的に「ABC123」を送信
- Webサイトが記録を確認：「ABC123の人のカートには商品Aがある」
- カートの中身を表示
身近な例で理解するセッション
例1：ログイン状態の維持
SNSサイトでの例
ログイン前：番号なし
├─ ログインページ → ユーザー名・パスワード入力
ログイン成功：番号「XYZ789」取得
├─ この番号が「ログイン済み」の証明書
├─ プロフィールページ → 「XYZ789さん、こんにちは田中さん」
├─ 友達リストページ → 「XYZ789さんの友達一覧」
└─ 設定ページ → 「XYZ789さんの設定」
例2：ショッピングカート
ECサイトでの例
セッション開始：番号「DEF456」取得
商品ページ：「商品Aをカート追加」
├─ サーバー記録「DEF456 → カート：商品A」
商品検索：別の商品を探す
├─ 番号「DEF456」は保持されている
商品ページ：「商品Bもカート追加」
├─ サーバー記録「DEF456 → カート：商品A、商品B」
カート確認：
└─ 「DEF456さんのカート：商品A、商品B」
セッションIDはどこに保存される？
Cookie：ブラウザの「小さなメモ帳」
セッションIDは Cookie という仕組みでブラウザに保存されます。
Cookieって何？
- ブラウザが保存する小さなテキストファイル
- Webサイトごとに管理される
- 自動的に送受信される
【あなたのブラウザのCookie】
amazon.com → SESSIONID=ABC123, 有効期限=2時間後
google.com → SESSIONID=XYZ789, 有効期限=1日後
facebook.com → SESSIONID=DEF456, 有効期限=30日後
ブラウザの開発者ツールで確認してみよう
Chrome/Firefox/Safari共通
- F12キーで開発者ツールを開く
- 「Application」(Chrome) または「Storage」(Firefox) タブ
- 「Cookies」を展開
- サイトのドメインを選択
- セッション関連のCookieを確認
実際に見えるもの
名前: SESSIONID (または PHPSESSID, connect.sid等)
値: abc123def456ghi789 (ランダムな文字列)
ドメイン: example.com
有効期限: Session (ブラウザを閉じるまで)
サーバーはセッションデータをどこに保存している？
Webサイト(サーバー)側では、セッションIDと紐づく情報を保存する必要があります。
保存場所の種類
保存されるデータの例
セッションID：ABC123
├─ ユーザーID：12345
├─ ユーザー名：田中太郎
├─ ログイン時刻：2024-01-15 10:30:00
├─ カート内容：[商品A, 商品B]
├─ 最終アクセス：2024-01-15 11:15:00
└─ 権限：一般ユーザー
セッションのライフサイクル
セッションの「一生」
セッションが終わるタイミング
1. ブラウザを閉じた時
ユーザー：ブラウザを閉じる
ブラウザ：Cookieを削除（一時的なもの）
サーバー：しばらく後にデータを削除
2. 時間切れ（タイムアウト）
設定例：30分間操作がないと自動ログアウト
├─ 10:00 ログイン → セッション開始
├─ 10:15 ページ閲覧 → セッション延長
├─ 10:45 何も操作なし → セッション継続中
└─ 10:46 ページアクセス → ログアウト（30分経過）
3. 明示的なログアウト
ユーザー：「ログアウト」ボタンをクリック
サーバー：セッションデータを削除
ブラウザ：Cookie削除
複数のタブやウィンドウはどうなる？
同じブラウザ内では共有される
重要なポイント：セッションはブラウザ単位
Chrome ブラウザ
├─ タブ1：Amazon（ログイン済み）
├─ タブ2：Amazon 商品ページ（同じログイン状態）
└─ タブ3：Amazon カートページ（同じカート内容）
→ すべて同じセッションID「ABC123」を使用
実験してみよう
- Amazonなどのサイトにログイン
- 新しいタブでそのサイトを開く
- 既にログイン状態になっている！
異なるブラウザは別セッション
Chrome：Amazon ログイン状態（セッションID：ABC123）
Firefox：Amazon 未ログイン状態（セッションID：なし）
→ ブラウザが違うと別のセッション
セキュリティ：セッションの安全性
よくある危険とその対策
1. セッションハイジャック（乗っ取り）
危険な例
カフェの無料Wi-Fi使用中
悪い人：通信を盗聴してセッションIDを取得「ABC123」
悪い人：取得したIDを使ってあなたになりすまし
対策：HTTPS通信
HTTP：通信が丸見え（危険）
HTTPS：通信が暗号化（安全）
安全なサイトの確認方法：
URL が https:// で始まっている
ブラウザのアドレスバーに鍵マークが表示
2. セッション固定攻撃
危険な例
悪い人：「このリンクをクリックして」→ site.com?sessionid=EVIL123
あなた：クリックしてログイン
悪い人：EVIL123を使ってあなたのアカウントにアクセス
対策：ログイン時にID再生成
ログイン前：セッションID = TEMPORARY456
ログイン成功後：新しいセッションID = SECURE789 に変更
→ 古いIDは無効になる
よくある質問（FAQ）
Q1: セッションが切れるのはなぜ？
A: 主に以下の理由があります
- セキュリティ: 長時間放置されたセッションは乗っ取りリスクが高い
- リソース節約: サーバーのメモリを節約するため
- 一般的な設定: 30分〜2時間で自動ログアウトが多い
Q2: プライベートブラウジング（シークレットモード）だとどうなる？
A: より安全ですが、基本は同じ
通常モード：Cookie は永続保存される可能性
シークレットモード：ブラウザを閉じると Cookie は確実に削除
Q3: スマートフォンのアプリはどうなの？
A: Webブラウザではなく専用アプリの場合
Webサイト：Cookie を使ったセッション管理
スマホアプリ：アプリ内に専用の認証情報を保存
→ 仕組みは似ているが、実装方法が違う
Q4: 「ログイン状態を保持する」チェックボックスって何？
A: セッションの有効期限を延長する機能
チェックなし：ブラウザを閉じるとログアウト
チェックあり：2週間〜1ヶ月間ログイン状態維持
実際に確認してみよう
実習：セッションの動きを観察
用意するもの
- パソコンのWebブラウザ
- お気に入りのWebサイト（Amazon、Twitter等）
実習手順
1. セッションの開始を確認
1. シークレットモードで Amazon を開く
2. F12 で開発者ツールを開く
3. Network タブをチェック
4. ページを読み込み
5. Response Headers で「Set-Cookie」を確認
→ セッションIDが送られてきている
2. セッションの継続を確認
1. 商品を検索して別のページに移動
2. Network タブで Request Headers の「Cookie」を確認
→ 先ほどのセッションIDが送られている
3. カートに商品を追加
4. 別のページに移動してもカートが維持されることを確認
3. セッションの終了を確認
1. ブラウザを完全に閉じる
2. 再度サイトを開く
3. カートが空になっていることを確認
→ セッションが終了している
まとめ
セッション管理は、Webサイトがあなたを「覚えている」ための重要な仕組みです。
重要なポイント
- セッションID = あなたを識別する番号（図書館の図書カードのようなもの）
- Cookie = ブラウザがセッションIDを保存する場所
- サーバー側保存 = あなたの情報を記録している場所
- セキュリティ = HTTPS通信と適切な設定が重要
- 有効期限 = 安全のために一定時間で自動切断
身近な体験で理解しよう
次回Webサイトを使う時は、こんなことを意識してみてください：
- ログインした瞬間：「セッションIDをもらった！」
- 別のページに移動：「セッションIDを提示して本人確認」
- カートに商品追加：「セッションIDと一緒に『商品A追加』と記録」
- ブラウザを閉じる：「セッション終了、また今度！」
セッションの仕組みを理解すると、Webサイトの動作がより身近に感じられ、セキュリティ意識も高まります。安全で快適なWebライフを楽しんでください！
さらに学習したい方へ
- Web開発に興味がある: HTMLとJavaScriptから始めてみましょう
- セキュリティが気になる: HTTPS、Cookie設定について調べてみましょう
- 技術的な詳細を知りたい: HTTP/HTTPSプロトコルについて学習してみましょう
この記事がWebセッションの理解の第一歩になれば幸いです！