Oturum Nedir?

Oturum Nedir?

Oturum (session), HTTP’nin durumsuz yapısına rağmen bir kullanıcının giriş yapmış, sepet oluşturmuş veya belirli tercihleri seçmiş olduğunu istekler arasında hatırlamayı sağlar. Sunucu her isteği bağımsız görür; oturum mekanizması bu istekleri aynı kullanıcı bağlamına bağlar.

Klasik modelde sunucu bir session ID üretir, bu ID’yi tarayıcıya cookie olarak gönderir ve asıl oturum verisini sunucu tarafında saklar. Sonraki isteklerde cookie geri gelir; sunucu ID’ye karşılık gelen kullanıcıyı ve durumu bulur.

Nasıl Yönetilir?

• Session ID: Rastgele, tahmin edilemez ve yeterince uzun olmalıdır.
• Cookie ayarları: HttpOnly, Secure ve SameSite bayrakları kullanılmalıdır.
• Süre sınırı: Oturum belirli hareketsizlik veya toplam süre sonunda kapanmalıdır.
• Sunucu deposu: Bellek, Redis, veritabanı veya yönetilen session store kullanılabilir.
• Yenileme: Giriş sonrası session ID değiştirilerek session fixation riski azaltılır.

İş Dünyasında Kullanımı

Oturumlar e-ticaret sepeti, yönetim paneli, bankacılık akışı ve B2B müşteri portalı gibi kimlik gerektiren alanlarda kullanılır. Yük dengelemeli sistemlerde session verisinin tek sunucuda kalması sorun yaratabileceği için merkezi store veya stateless token yaklaşımı seçilir.

Cookie tabanlı session ile JWT tabanlı kimlik modeli farklı riskler taşır. Güvenli tasarımda oturum çalma, CSRF, açık cihazda kalma ve yetki değişikliği sonrası session yenileme senaryoları ayrıca düşünülmelidir.