20

Vejo algumas discussões sobre a utilização de "Sessions" não ser escalável, mas como ainda não tenho experiência em projetos grandes o suficiente para perceber isso, não sei como funciona.

3
  • A palavra "Session" me lembra algo temporário, algo que morre com sua sessão. E isso me faz pensar que talvez ela possa ser alterada de alguma forma, já que está tão perto do usuário. Algo manipulado mais internamente no próprio servidor, em constante atualização tende a ser mais confiável, essa é apenas minha opinião. Commented 30/01/2014 às 12:05
  • Alguma das respostas lhe ajudou? Ou há problemas nelas? Comente informando ao autor qual a duvida em tentar usar a solução proposta. Se alguma das respostas lhe resolveu o problema, marque-a como correta clicando em ✓
    – Syzoth
    Commented 19/07/2015 às 0:12
  • Apesar de ser para .Net, pode ser esclarecedor, visto que apresenta os conceitos. blog.dtisistemas.com.br/… Commented 7/08/2015 às 1:27

9 Respostas 9

18

Não existe nenhum problema com sessões. O problema pode estar em que inicialmente os dados das sessões são armazenados em arquivos locais, pelo que se pretender ter vários servidores Web para o mesmo site, pode ter problemas da sessão em um servidor não ser enxergada noutro servidor.

Mas isso pode ser melhorado substituindo as funções de "session handler" para armazenar os dados num servidor que possa ser acessado por vários servidores, por exemplo usando memcached ou até mesmo tabelas MySQL armazenadas em memória usando o tipo HEAP.

Você pode substituir as funções de "session handler" usando a função session_set_save_handler. Aqui tem um exemplo de como mudar as funções para armazenar dados de sessão em tabelas MySQL que até consegue limpar sessões expiradas ou mesmo sessões de usuários específicos.

1
  • 1
    Boa resposta! O uso de Sessions é totalmente normal. Agora quando precisamos escalar, precisamos mudar algumas coisas de lugar para melhorar nossa performance. Nada que impeça seu uso. Não se preocupe com isso, não agora.
    – Ricardo
    Commented 11/03/2014 às 20:30
6

Posso estar a interpretar mal mas não percebi bem a questão pois, exceptuando o reenvio das credenciais em cada pedido (request), a unica forma de manter um utilizador autenticado é através de um tipo qualquer de sessão (session).

Ainda assim, se se estiver a referir ao session manager nativo do PHP, de facto, a implementação por defeito das sessões em PHP usam ficheiros de texto para guardar os dados da sessão. Por definição, o acesso ao Filesystem pode ser lento mas isto só levanta problemas em sites muito concorridos. Um website, do qual sou administrador, tem mais de 50K visitas diárias e nunca verifiquei nenhum problema com as sessões do PHP.

No entanto, isto também não é linear. Se o site for dinâmico e fizer muito uso de AJAX, isso pode levar a "race conditions", mesmo com um número reduzido de visitas. Para mitigar o problema, o default session handler do PHP faz lock do ficheiro e, enquanto o processo de leitura/escrita não terminar, o lock não é libertado e os requests ficam em fila de espera, aguardando execução.

Ainda assim, o session manager do PHP permite que se escolha qualquer forma de armazenamento da informação. Desde o PHP 4 que se podem criar Session Handlers com as implementações mais variadas através da função session_set_save_handler.

Uma alternativa é guardar as sessões em memória, com o MemCache, por exemplo, que é extremamente rápido mas é mais dificil de escalar.

Outra é usar uma base de dados. Continua a ser necessário fazer lock, pelo menos, das linhas da tabela, mas com uma implementação inteligente pode reduzir a queue line.

Ou então pode-se saltar completamente o uso do session manager do PHP e criar um de raiz (ou usar uma library externa, etc...) Mas qualquer que seja o caminho, de uma maneira ou outra , envolve sempre sessões (isto é, guardar infomração no servidor de um request para outro),

Explicando mais a fundo...

O processo de autenticação é, muito resumidamente, o processo no qual o servidor verifica que o cliente é que diz realmente ser. O cliente envia as credenciais, o servidor processa-as e verifica-as e envia uma resposta (response), geralmente a dizer se a autenticação foi bem ou mal sucedida.

No entanto, como o HTTP é um protocolo "stateless" (isto é, cada pedido é teoricamente independente do anterior), assim que o ciclo "pedido-resposta" termina, o cliente deixa de estar autenticado. Deste modo, só existem duas formas de passar o estado do pedido anterior para o seguinte:

  1. Guardando no Client - e reenviando a informação em cada pedido
  2. Guardando a informação no servidor - e associa-la ao novo pedido

O modo mais simples é reenviar as credenciais de autenticação, como acontece no "HTTP Basic Authentication", em que, após autenticação inicial, as credenciais são enviadas no cabeçalho de cada pedido. Este modo é inseguro, especialmente em HTTP (ao invés de HTTPS), porque as credenciais vagueiam de pedido em pedido e são guardadas, em "plain text", no cliente (browser).

As sessions usam os dois. O cliente é autenticado, é gerado um hash token que é enviado ao cliente (O ID da sessão). Nos pedidos seguintes, esse token é enviado de volta para o servidor. Geralmente é feito por intermédio de cookies, mas qulquer forma de transmissão é válida.

4

Não somente em virtude da autenticação, mas relação a escalabilidade, imagine um cenário onde sua aplicação está distribuída em diversos servidores, de forma que um load balancer decida qual servidor deve tratar a requisição do usuário.

Como as Sessions são armazenadas em arquivos locais no mesmo servidor (por padrão), o load balancer pode fazer com que o mesmo usuário acesse servidores diferentes durante a navegação, e os dados que estão em um servidor não estarão acessíveis em outro e a antiga Session é perdida.

No caso de um único servidor, não haverão problemas, mas aplicações de larga escala devem ser construídas com esse tipo de preocupação em mente.

Algumas soluções para resolver esse problema são o uso de cookies criptografados no lado do cliente, uma estratégia de cache distribuído no lado do servidor, uso de banco de dados, etc, cada uma com seus prós e contras.

1
  • 1
    Wordpress usa cookie criptografado.
    – J. Bruni
    Commented 20/02/2014 às 1:07
2

A session é uma boa alternativa para autenticação, só se torna ruim apenas quando mal utilizada.

Por minha experiência se tiver cuidado em alguns pontos, não terá problemas:

  • Tamanho dos dados armazenados na sessão - evitar listas grandes, arquivos e dados que fujam o escopo da sessão (ideal apenas usuário, senha e perfil).
  • Timeout das sessões - já tive problemas em aplicações em que o timeout da sessão foi configurado para algo como dias, no início não houve problema até que o número de usuários aumentou. Procure um valor equilibrado para suas necessidades.
  • Encriptar dados pessoais - é básico mas já vi sistemas antigos que colocavam a senha do usuário na sessão.

Mantendo os dados do usuário reduzidos na sessão, diminui a chance de problemas de memória. Caso precise de outros dados do usuário armazene-os em banco e busque quando necessário no escopo da página. E com relação a escalabilidade você pode manipular as sessões por id com auxílio do banco.

1
  • 2
    Guardar senha em sessão? Jamais!!! Commented 30/01/2014 às 15:42
1

Em relação aos cookies também ajuda que sejam Secure (no caso de ser uma transmissão por https ) e HttpOnly.

Um cookie Secure, só pode ser usado via https e assegura que o cookie é encriptado quando é transmitido do cliente para o servidor. Isto diminui a possibilidade de terceiros conseguirem aceder ao valor do cookie.

Um cookie HttpOnly, só pode ser transmitido por um request http ou https, o que impede o acesso por exemplo via JavaScript. Esta restrição diminui, mas não elimina, a possibilidade de ataques via cross-site scripting (XSS).

0

A session costuma ser mais segura que o cookie por estar do lado do servidor. O problema de você manipulador o cookie, que é no lado cliente, é que ele pode ser roubado de alguma maneira, e assim a conta será invadida.

O problema com as sessions é que são armazenadas no servidor, e isso para um sistema com um grande número de acessos faz com que ocupe muito espaço em memória.

Fazendo com que cada usuário armazene seus próprios dados de login, você economiza essa memória e poupa o servidor.

1
  • 1
    E se o cookie estiver devidamente criptografado? Commented 30/01/2014 às 12:27
0

Creio que para uma aplicação bem mais segura, não pode ser apenas com sessão, mas sim com cookie também, onde você pode deixar uma chave no cliente para poder deixar uma "assinatura digital" do pc, onde você com a sessão armazenada no servidor mais o cookie no cliente, deixa de certo modo mais seguro.

Mas utilizar somente a sessão também é uma ótima opção, mas indico também a utilizar a sessão nativa do PHP e não de frameworks, como exemplo do CodeIgniter, que não é nativo.

Acredito que esse tipo de questão é mais indicado a se responder quando você determinar a segurança, como exemplo é a forma de autenticação do Google, onde você tem no cookie informações do usuário logado mas possui sessão nos servidores da empresa.

0

Sessões não são má alternativa de autenticação, dependentemente de como a vais trabalhar ela pode ser-te útil para aquilo que precisas. Utiliza-se para trabalhar com autenticações não duradouras, diferente dos cookies que têm tempo de vida especifico independentemente se o navegador for fechado ou não.

-5

Até onde eu sei, uma session não existe sem cookies. Se desativar a criação de cookies no navegador, não é possível criar sessions...

2
  • 8
    É possível usar sessão por um parâmetro de URL. Veja aqui.
    – utluiz
    Commented 30/01/2014 às 13:51
  • Ou por autenticação HTTP.
    – J. Bruni
    Commented 20/02/2014 às 1:02

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .