大前提 ／ セッション管理機能とは？

大前提

Webデータのやり取り
Webサーバ側とクライアント側(ユーザエージェント／Webブラウザ)とで、HTTPプロトコル(インターネットプロトコルの一種)を介して行なわれる

HTTPプロトコル(HTTP通信)
・ブラウザからの要求（リクエスト）とサーバからの応答（レスポンス）を1つの単位として通信が完結する形となっている
・１回のリクエスト（要求）とレスポンス（応答）の間に、「接続→通信→切断」という一連の処理が行われる仕組みとなっている
・つまり、ページを移動するたびに同じ処理(リクエストによってページのデータがレスポンスされ、受信が終わったら通信を切断)が繰り返し行われることになる(同期通信)
・通常複数の通信間の関連性を管理することは出来ない

セッション管理の必要性
・HTTPプロトコルには、状態を保持する機能がない
・ユーザー（ブラウザ）が連続的に複数回のアクセス（Webページの表示）を試みても、サーバ側はそれを特定のユーザーの連続したアクセスと認識せず、複数のユーザーが複数回アクセスしたものとして認識してしまう

セッションがないとどうなるの？
例えば、認証が行なわれているサイトでは、クライアントがページを移動するたびに、(通信は都度切断されているため)認証を求められてしまうことになる

セッション管理機能とは？

セッション管理
・クッキーなどであたかも1セッションが連続しているように見せかけている
・具体的には、Webサイトに、特定のユーザーからの状態（アクセス履歴や、入力したデータなどの情報）を保持した上で、次にそのユーザーがアクセスしたときに、特定ユーザーからのアクセスであることをサーバ側が認識している

セッション管理機能の仕組み
・クライアント側に保存させておきたくない情報(セッションデータ)をサーバー側で保存(クライアント側には、セッションIDと呼ばれるランダム文字列のみを保存)
・サーバー・クライアント間では、このセッションIDのみをやりとりする
・具体的には、セッションIDを介してサーバー側に保存させておいたセッションデータを読み込む

クッキーとの違い
・CookieはRFC(プロトコルやファイルフォーマットの公開形式)にて明示的に定められている一つの「仕様」であり「実装」
・一方、セッションはあくまで「概念」であり、実装ではない
・具体的には、セッションを実現する手段の一つとして「Cookieを利用する方法」や、「input type hiddenを用いる方法」などがある
・さらに言えば、セッションIDの受け渡し手段の一つが「Cookieを利用する方法」となっている