「SessionとCookieの違いを調べたんですが、昨日は両方一緒で現代はSessionのみ使われる、でOKですか？」という後輩くんはどうしてあげたらいい？

よんてんごP @yontengoP

後輩くん「SessionとCookieの違いを調べたんですが」 ☑web①「Sessionはログイン機能に使う」 ☑web②「Cookieもログイン機能に使う」 ☑web③「Cookieは安全じゃないのでSessionが使われる」 後輩くん「なので、機能は両方一緒。 現代ではSessionのみ使われる、でOKですか？」 ﾜｲ「ｳｰﾑ…🤔」 pic.twitter.com/RWVHjQotU6

拡大

拡大

拡大

よんてんごP @yontengoP

どこからどうツッコミを入れていくべきか、というのと この手のサイトの見分け方(？)みたいのもお伝えせねば、というのと 一方で「じゃあおれはCookieとセッションについて正確無比に理解しているのか🤔」という自問自答よ

よんてんごP @yontengoP

キミらならどっから教える🤔❔ あるいはどの本とか読んでもらう？🤔

よんてんごP @yontengoP

この各種サイトに書かれてる内容を全て鵜呑みにしてしまうと、 ☑️現代のサイトでCookieを使ってるサイトなどない‼️←まちがい ☑️仮に使っていたらそのサイトはセキュアではない‼️←まちがい ☑️Cookieを使ってる場合は全てセッションに置き換えよう‼️←まちがい っていう理解になりそうなのよね…🤔

よんてんごP @yontengoP

スマン追加で、 Cookieとセッションについて説明してる最中に後輩くんから追加質問で 1️⃣このCookieとセッションについての理解は、皆さんどのくらいの現場経験後に出来ましたか？ 2️⃣使い分けは100人ITマンがいても全員「この場合はコッチ」って明確な正解がありますか？ とのこと。

よんてんごP @yontengoP

個人的には 「んー、僕の場合は基本情報取るときに覚えたかなぁ」ってのと 「明確な正解と言われると難しいのでは…🤔」と思ったりするんだけど 皆さま各位のご意見も聞きたいところ。

わらびー @BPPhantomtw

@yontengoP クッキー☆は自分の端末にデータが有る。セッションはサーバー側にデータが有る。どっちでも同じようなことはできるけど、サーバー側にデータがあったほうが色々都合がいいので今はセッションを使うのが主流。

indigo @indigo_twi

@yontengoP いつも笑えたり笑えなかったりのツイートありがとうございます。 この辺りは時間割いてきちっと教えた方が今後の本人のためだと思います。

NEKO🏝沖縄-虚弱ITエンジニア @nyanko_super

@yontengoP ネットでつまみ食いする前に、技術本読んで体系的に勉強すれば？ で終わりのような。。。

MY @my2102203

サーバー「何者だ！」 ブラウザ「これ、手元のクッキーにあったセッションIDです」 サーバー「よし通れ…む、おぬし前にもここを通ったな？」 というイメージ。 twitter.com/yontengoP/stat…

kei @kei_gnu622

session Cookie 違い で何個か記事を見るのがいちばん良い気がする twitter.com/yontengop/stat…

ひまパパ @hima_papa0831

サーバーとクライアントの間で状態を保持させるためにセッションという仕組みを導入する際、多数のセッションを区別するために一意のIDを発行するのだけどそのIDをCookieという仕組み上に保存して以後の通信に添えて送りサーバーに「自分が何者なのか」を認識させる とか？ twitter.com/yontengoP/stat…

天野遠景@がんばれない @tokagetail

技術要素の話をしてるのに「～機能に使う」みたいなことになってる時点であれよね…その技術は何を実現していて、どういう用途があり、その特性がこういう機能/実装に使われている、という理解をしないと永遠に「FWの使い方を覚えただけ」レベル。こういうのは会話すればわかるからやっぱり面接大事。 twitter.com/yontengoP/stat…

ぶっかん @bukkan817

RT見ると理解してない人多いのね… ①〜③全部の理解が正しくないしOKじゃないので、変な調べかたしてないか不安になるし、どうやって調べたかを確認かなぁ… twitter.com/yontengop/stat…

わさい @sfc_wsi

素朴にどういうバックグラウンドを持った人が書いてるのか気になる。 SessionはStatelessなプロトコルにStateを実装するためのアイデアでCookieはその実現方法という認識。 twitter.com/yontengop/stat…

ぴぐお @systemotaku45

セッションはいくかあるイメージだな。 ①通信の接続-切断まで ②振分サーバの保持 ③アプリの処理位置 ②、③がCookieに書き込まれてブラウザに保持される。 使われ方 初回アクセスでAサーバのアプリにログインする。ブラウザ閉じる。 もう一回アクセスするとAサーバにログインした状態が保持。 twitter.com/yontengoP/stat…

こばっと @KOBAT_

ここでRailsみたいにCookieに暗号化してセッション情報持たせる実装の話とかしだすと、よりわけわかめ twitter.com/yontengop/stat…

おむかれー @OmeletteCurry19

こういうのは、調べさせて、説明させるのが良いと思う。そのPJにおいて重要なものほど。自分もそうして理解が進んだ。 Cookie周りの仕様および図解 qiita.com/OmeletteCurry1… twitter.com/yontengoP/stat…

グリーングリーン @greengreen1007

なんだろsessionもcookieもHTTPSで使ってんだからよっぽど大丈夫じゃね。 パーシステンス機能だとcookieはバンバン使うし、googleだかはcookieはセキュアじゃないから移行するとかどうだの言ってたような気がするからユーザ情報含まれるようやつはcookieは不適なのはなんとなくわかるけどね。 twitter.com/yontengoP/stat…

ITエンジニアの備忘録的技術ブログ【仮】のなかの人 @DepthbombM

Sessionはサーバー側で持ち、Cookieはクライアント側で持つ その前提が無いと適切に理解できないかなと😁 twitter.com/yontengoP/stat…

クラーク@JJ0XFM @clerk_1983

クッキーは銀行やMcDonald's窓口での整理番号（文脈によっては整理券そのものを指したり）ですかね。 当然乗っ取りもできる😜 twitter.com/yontengoP/stat…

ナシェモン @nassyemon

｢フランス料理とオーリブオイルの違いについて調べたんですが｣ twitter.com/yontengoP/stat…