セッション認証とトークン認証について

概要 セッション認証とトークン認証について整理する。下記サイトで詳しく解説されていたので、自分はあくまで学びをアウトプットする目的として本記事を作成する。詳しく学びたい人は、こちらで確認してほしい。 早速だがセッション認証とトークン認証について、一言で言うと、セッション認証はサーバー側主体の認証方法であり、トークン認証はブラウザ側主体の認証方法である。 セッション認証 セッション認証は、ユーザがログイン成功した際に、ユーザ情報と紐付けたセッションIDを返す。ユーザはこのセッションIDをブラウザ上でクッキーとして保存して、サーバー側へリクエストを送る。具体的な流れを下記に示す。 ユーザがログイン認証を経て、サーバがユーザ情報と紐づけたセッションIDを発行する。 発行されたセッションIDをユーザのブラウザが受け取り、クッキーとして保存する。 クッキーとして保存されたセッションIDを用いて、ユー

[prograti]

所々表現に怪しい部分があってHTTPの基礎をちゃんと理解されてないような気がするのでこの辺のチュートリアルを読み直すことをお勧めします。 https://developer.mozilla.org/ja/docs/Web/HTTP

[snailcat]

トークン認証がブラウザ主体という意味が全くわからなかった。

[mak_in]

怪しい部分は多いけど、入門としてはこれくらいの解像度で良いんじゃない？トークンってよりOIDCを使うことで、iDaaSの外部サービスに認証の諸々を任せられるのが大きいから使うって感じかな。自分でやるの大変なんよ

[chiroruxx]

認証と認可が混ざってそう。この説明だとトークン認証は認証してなさそう。

[redredstar]

この人のいうユーザー情報ってなんなんだ…？トークン認証でなぜそれを持たなくていい発想になるのかわからん。画像にあるsubはまさにユーザー識別子だし、ログインしたユーザーの情報はサーバー側で持ってるだろ…

[ucchiyama2080]

他のコメに感化されて記事をしたためました！元記事の人みて！https://ucchiyama2080.livedoor.blog/archives/19379793.html

[onesplat]

素人は記事書くな

[xlc]

“ユーザはアクセストークンを受け取ったら、ブラウザにクッキーとして保存する。” え？ / ヤバい説明をヤバい人が「まとめる」。そこからAIが学ぶんだから、今後ネットにはデタラメが蔓延ることになりそうだな。

[Shinwiki]

べつに認証済みのエンティティをどう扱うかってだけの話で、あんましトークンとは、とかセッション認証とは、とかの定義のあたりでごちゃごちゃやってても意味なさそう。SSOとかで共通化の検討すんならまだしも。

[hasiduki]

トークン認証の時のユーザー情報はどこに保持されるの？？？？？