セッション とは？

Cookieはブラウザ（クライアント側）にデータを保存するもの。セッションはサーバー側にデータを保存して、「どのユーザーのデータか」を識別するためのIDだけをCookieで渡す仕組みだよ。大事なデータをサーバーで管理できるのがポイント。

「図書館のロッカーの鍵番号」みたいなものだよ。サーバーはロッカー（セッションストア）にユーザーのデータを入れておいて、ユーザーには鍵番号（セッションID）だけを渡す。次回アクセスときに番号を見せてもらえば、どのロッカーか分かるんだ。

サーバーが保存しているセッション情報を削除すること。「30分操作がなければログアウトします」みたいな仕組みがそれだよ。セキュリティのために一定時間で自動的に切れるように設計するのが普通なんだ。

ここが中上級者でもハマるポイントだよ。サーバーが1台ならセッションをメモリに持てばいいけど、サーバーが複数台になると問題が起きる。「サーバーAでログインしたのに、次のリクエストがサーバーBに届いたらセッションがない」という状態になる。これを解決するにはRedisなどの共有セッションストアを使うか、JWT（JSON Web Token）のようなサーバー側に状態を持たない仕組みを使うか、という設計の判断が必要で、スケールアウト時の定番の悩みポイントなんだよ。