セッション維持 とは？

ECサイトでショッピングカートに商品を入れたのに、次のページで消えてしまう…という事態を防ぐために使うんだよ。複数のサーバで負荷分散しているとき、リクエストのたびに別のサーバへ行くとセッション情報がなくなってしまうんだ。

サーバAに「このユーザーはログイン済み」という情報が保存されていても、サーバBにはその情報がないんだよ。だから「同じユーザーは必ずサーバAへ」と決めて、セッション情報が常に同じ場所にあるようにするのがセッション維持だよ。

主に2つの方法があるよ。CookieにサーバのIDを埋め込んで次回も同じサーバへ誘導する「Cookieベース」と、送信元IPアドレスが同じなら同じサーバへ送る「IPベース」だよ。IPベースはNAT環境で複数ユーザーが同じIPになると精度が下がるという弱点があるんだ。

担当サーバが落ちるとそのユーザーのセッション情報も消えてしまうんだ。それを防ぐためにRedisなどの共有セッションストレージを使って、どのサーバからでもセッション情報を読めるようにする方法が一般的だよ。その場合はセッション維持が不要になることもあるんだ。

JWTなどのトークンをクライアント側に持たせてステートレスにする設計が増えているよ。サーバ側にセッション情報を持たないからロードバランサがどのサーバに振っても動くんだ。セッション維持は旧来のステートフルな設計では重要だけど、新しいシステムでは不要にする方向が主流だよ。