railsのセッション管理について

[Komei22]

railsのセッション管理方法

config/initializer/session_store.rbでセッションの管理方法を指定できる セッション管理方法は以下の3つがある

• CookieStore
• ActiveRecordSessionStore
• DalliStore

CookieStore

セッションの中身を全てCookieに保存してセッションを管理

メリット：

• Railsに付属しているライブラリだけで動かすことができること
• データベースなどへのアクセスが不要なので、処理が比較的早いこと

デメリット：

• クライアントがセッションの内容を持つことになるので、サーバーが好きなタイミングでセッションの内容を確実に消すことができない
• セッション再生攻撃の可能性がある
  • セッション内容をメモしておいて、セッションの内容を好きなタイミングでメモしたときの状態まで戻すこと

ActiveRecordSessionStore

ActiveRecordを利用してDBにセッションの内容を保存するセッション管理 「activerecord-session_storet」というgemが必要

メリット：

• サーバがセッションの内容を持つので、好きなタイミングでセッションを消せる
• 導入が比較的簡単

デメリット：

• 処理速度が遅い

DalliStore

memcachedにセッションの内容を保存するセッション管理

メリット：

• サーバー側にセッション内容を保存するので、好きなタイミングでセッションを消せる
• ActiveRecordSessionStoreと比べて、導入が大変だが、処理速度が早い

参考

Railsのセッション管理方法について