Memahami Session ID

Ini adalah lanjutan dari artikel saya sebelumya yang membahas tentang apa itu cookie dan bagaimana cara kerjanya. Apabila anda belum mengetahui apa itu cookie, saya sarankan untuk membacanya terlebih dahulu karena session dan cookie merupakan dua hal yang saling berhubungan.

Seperti yang kita tahu, cookie memberikan informasi user kepada server untuk kemudian disahkan oleh server. Ingat ilustrasi mahasiswa yang mengajukan beasiswa, anggap saja session id adalah stempel/tanda tangan yang diberikan khusus kepada user oleh server.

Ketika user pertama kali masuk ke sebuah situs, server akan memberikan sebuah kode unik berupa session id. Ketika server menerima request dari user yang membawa session id, server akan memeriksa apakah session id itu valid. Jika session id valid, maka server yakin bahwa request ini datang dari “returning visitor” bukan orang asing.

Ada 2 media untuk membawa session id, yaitu cookie dan URL. Cookie biasanya berupa file text yang disimpan oleh browser dan dikirimkan kembali ke server bersama setiap request. Sedangkan session id yang dibawa melalui URL umumnya berbentuk parameter seperti "?sessionid=123456".

Pada umumnya server memberikan sessionid melalui cookie karena cara ini lebih aman dari pada melalui URL.

Sebagai contoh session id yang melalui cookie, mari jalan-jalan ke kampus saya (maksudnya: kampus tempat saya kuliah ^-^) dan anda lihat sendiri cookie dan sessionnya dengan mengetikan pada address bar:

javascript:alert(document.cookie);

Lalu dimana session id nya? Session id adalah bagian yang saya blok dengan warna merah

Session id tersebut adalah sebelum saya login. Lalu bagaimana setelah login? Setelah login, pada cookie akan ditambahkan sebuah session id (baru), status mahasiswa, nim, dan password mahasiswa. Penulisan cookie maupun session id tiap situs berbeda-beda, coba anda lihat pada situs-situs lainya.

Karena artikel ini hanya pengenalan apa itu session id, maka saya tidak akan panjang lebar membahasnya sekarang. Suatu saat saya akan menuliskan tentang pencurian session/session hijacking.

Kesimpulan

Session id merupakan kode unik yang diberikan server kepada client yang dimasukan kedalam cookie sebagai pengenal setiap kali client melakukan reques ke server. Session id tersebut akan habis masa berlakunya (expired) sampai user keluar/logout.