9

Sabendo que o ASP.NET MVC quando se fala em Session deve-se tomar um certo cuidado para não abusar demais de tal funcionalidade devido ao seu consumo de memória pelo servidor podendo "pesar" a aplicação.

Lendo um pouco sobre ela no site da Microsoft vi que você tem a opção de armazenar em cookies do lado do cliente, porém os dados se tornam um pouco frágeis devido a possibilidade de um usuário manipular cookies.

Essa Session do ASP.NET Core (2.2 especificamente) realmente retirou a responsabilidade do servidor de armazenar as Sessions? Onde é armazenado agora? E qual seria a melhor configuração para ela?

Configuração que uso atualmente:

  services.AddSession(options =>
  {
    options.IdleTimeout = TimeSpan.FromSeconds(10);
    options.Cookie.HttpOnly = true;
    options.Cookie.IsEssential = true;
  });

2 Respostas 2

7

Uma sessão pesa no servidor? Então você está fazendo algo errado.

Uma sessão no servidor fica na memória o tempo que for necessário ou a política do ASP.NET determinar, se a aplicação não invalidar, e se não acontecer nada errado no meio do caminho que destrua a sessão. Não considere a sessão algo confiável e segura. Não deveria ser comum você perder a sessão, mas não trate como se não pudesse acontecer. Se acontecer frequentemente tem algo muito errado no que está fazendo.

Existem maneiras de mudar isto, inclusive permitir distribuição da sessão, mas acho que não vem ao caso aqui.

Uma forma de garantir mais segurança nos dados que geralmente estaria em sessão é armazenar em banco de dados, assim até uma falha ainda manteria tudo funcionando se você tiver código adequado para lidar com isto, é problema seu fazer corretamente.

Estou falando de segurança no sentido de confiabilidade e persistência não de proteção de dados, principalmente em sessões não considere os dados como seguros, por isso tome cuidado com o que armazenar nelas.

Existe a possibilidade de fazer a sessão em si ser armazenada em banco de dados, mas quase sempre não faz muito sentido porque você pode fazer de outra forma com mais flexibilidade e performance, a sessão padrão é para ser simples mesmo e com alta performance.

Note que a sessão é, e sempre foi, controlada por um cookie, só não tem os dados mantidos nele. Você precisa de alguma identificação para entender que está "conversando com a mesma pessoa". Não vou entrar em detalhes sobre o uso dele, mas é só uma espécie de assinatura da sessão e não a sessão em si. Você pode configurar como essa identificação pode ser formada justamente aí nas opções que começou configurar.

Se deseja dados a serem mantidos entre sessões diretamente no cookie você pode, só não é recomendado. É complicado, muita coisa pode dar errado e é menos seguro. Mesmo configurando do jeito que fez os dados ainda estão no servidor.

Existem outras formas quando o cookie não é interessante ou não funciona em certo cenário, mas em geral são menos seguros.

Existem outras formas de manter estado quando não precisa exatamente de sessão, analise se pode usar.

Adicionalmente tenho que dizer que o padrão do idle é 20 minutos, algumas pessoas consideram isso pouco, você colocou em 10 segundos, o que provavelmente torna a sessão inútil já que é extremamente comum não haver interação por mais de 10 segundos.

Não entendi porque achou que agora a sessão não fica no servidor, continua ficando.

Coloquei no GitHub para referência futura.

3
  • Li em alguns lugares que o uso excessivo de sessions pode deixar a aplicação lenta, porisso a observação. Em relação a pensar que a sessão não fica no servidor foi devido a este relacionamento com cookies (No navegador) e isso era recuperado dinamicamente nas requisições. Commented 4/09/2019 às 12:36
  • Se abusar é claro que é ruim. Sempre se usou cokkies, mas nunca (em condições normais) se usou a sessão no cookie, só o ID mesmo. Note que não mudou nada no ASP.NET, mudou a forma de configurar apenas.
    – Maniero
    Commented 4/09/2019 às 12:37
  • Entendido, obrigado! Commented 6/09/2019 às 14:31
5

No ASP.NET Core é fornecido um Cookie ao Usuário (client), que contém um ID de sessão que é enviado ao servidor a cada requisição, e o servidor utiliza o ID de sessão para buscar dados na sessão.

Aqui vai algumas informações sobre a sessão retiradas do site da Microsoft:

  • Uma vez que o cookie da sessão é específico ao navegador, não é possível compartilhar sessões entre navegadores.

  • Cookies da sessão são excluídos quando a sessão do navegador termina.

  • Se um cookie for recebido de uma sessão expirada, será criada uma nova sessão que usa o mesmo cookie de sessão.

  • Sessões vazias não são mantidas—a sessão deve ter pelo menos um valor definido nela para que mantenha a sessão entre solicitações. Quando uma sessão não é mantida, uma nova ID de sessão é gerada para cada nova solicitação.

  • O aplicativo mantém uma sessão por um tempo limitado após a última solicitação. O aplicativo define o tempo limite da sessão ou usa o valor padrão de 20 minutos. Estado de sessão é ideal para armazenar dados de usuário específicos para uma sessão em particular, mas em que os dados não requerem armazenamento permanente entre sessões.

  • Dados da sessão são excluídos quando a implementação ISession.Clear é chamada ou quando a sessão expira.

  • Não há nenhum mecanismo padrão para informar o código do aplicativo de que um navegador cliente foi fechado ou quando o cookie de sessão foi excluído ou expirou no cliente.

  • Os modelos de páginas do ASP.NET Core MVC e Razor incluem suporte ao RGPD (Regulamento Geral sobre a Proteção de Dados). Os cookies do estado de sessão não são marcados como essenciais por padrão, portanto, o estado de sessão não é funcional, a menos que o rastreamento seja permitido pelo visitante do site. Para obter mais informações, consulte Suporte a regulamentação de proteção de dados gerais (GDPR) no ASP.NET Core.

Ou seja, os dados de sessão continuam sendo armazenados no servidor, o que é armazenado no lado Client é o Cookie com o ID da sessão

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .