セッション管理の要注意点 - Qiita

Webアプリを開発するに当たって、「自分でセッションを書きたい」なんて思う人はおそらく1%もいないでしょう。とはいえ、標準で備わっているセッション機能に問題や機能不足があって、手を入れざるを得なくなる、という場面も多々存在してしまいます。ここでは、セッションまわりでよく問題になる部分について触れてみましょう。 そもそも、セッションとは Webアプリにおけるセッションは、 接続ごとに固有の識別子（セッションID）を割り当て、その接続を使った通信のたびにセッションIDを送受信する セッションIDと紐付ける形でデータを持って、アクセスごとに値を読み出す。 データが書き変われば、書き戻す。 というような流れで、「接続ごとにデータを保存する」ということを実現しています。 セッションとCookie 上の1にあるような「通信のたびにセッションIDを送受信する」ために使われるのがCookieです。ただ、C

[HHR]

Cookieのsecure属性とhttponly属性。RailsのデフォルトはセッションIDだけでなくてセッションの値までCookieに詰め込んでしまう

[nilab]

セッション管理の要注意点 - Qiita : 「Railsのデフォルトなどのように、セッションIDだけでなくてセッションの値までCookieに詰め込んでしまう、という実装も存在します」「途中で切れたセッションのデータが残り続ける」