O que é Sessão?

Relacionar interações ao longo do uso

Sessão é um estado que permite relacionar várias interações com uma aplicação. Em uma área autenticada, ela pode associar requisições ao perfil que fez login. Também pode existir antes da autenticação, por exemplo para manter um carrinho de compras.

HTTP não relaciona automaticamente uma requisição à anterior como parte de uma conta autenticada. A aplicação acrescenta um mecanismo para reconhecer essa continuidade. Um modelo comum usa um identificador em cookie e mantém o estado correspondente no servidor.

Ao abrir o painel e depois consultar seu perfil, o navegador pode enviar o mesmo identificador nas duas chamadas. O servidor verifica a sessão e aplica as permissões da conta. Estar autenticado não significa ter acesso a todo registro da aplicação.

O ciclo de vida da sessão

A aplicação cria ou atualiza a sessão conforme a interação. Depois de uma autenticação, deve renovar o identificador quando utiliza esse modelo, evitando manter um valor que já pudesse ser conhecido antes do login. A biblioteca ou o framework costuma oferecer mecanismos para essa renovação.

A sessão pode terminar por logout, expiração ou revogação. Um limite de inatividade considera o período sem uso, enquanto um limite absoluto restringe a duração total. O servidor precisa conferir esses limites a cada acesso protegido, inclusive quando uma página antiga ainda apresenta a sessão como válida.

Onde ficam os valores

No modelo de sessão armazenada no servidor, o navegador carrega um identificador opaco. O estado pode ficar em memória, em um banco ou em um serviço de armazenamento compartilhado. A escolha afeta disponibilidade e continuidade entre processos.

Também existem mecanismos que transportam informações assinadas no cliente, com condições próprias de tamanho, expiração e revogação. Verificar a assinatura permite identificar alterações no conteúdo protegido por ela, mas não torna esse conteúdo necessariamente secreto. Ao escolher o que transportar, considere quais informações poderão ser lidas no cliente e como o acesso será encerrado.

Navegador → identificador da sessão
Servidor → perfil associado, validade e estado
Logout → invalidação do acesso daquela sessão

Sessão e cookie têm papéis diferentes

No modelo descrito no exemplo, o cookie transporta o identificador que permite consultar a sessão mantida no servidor. O mecanismo de armazenamento e envio não define sozinho a finalidade do valor: outro cookie pode guardar apenas uma preferência de idioma, sem representar acesso autenticado.

A validade do cookie e a validade da sessão precisam ser examinadas separadamente. O navegador pode continuar enviando um identificador cuja sessão já expirou no servidor. Nesse caso, a aplicação deve recusar o acesso protegido e orientar a autenticação novamente.

Como conferir continuidade e encerramento

Em desenvolvimento, teste navegação autenticada, expiração e logout. Confira se o identificador é renovado após login e se perde o acesso esperado depois do encerramento. Deixe um formulário aberto até a sessão expirar e tente enviá-lo: o servidor deve conferir a validade nesse envio, mesmo que a tela ainda indique que o login está ativo. A interface precisa explicar a necessidade de autenticação sem apresentar a alteração recusada como concluída.

Evite gravar identificadores completos em logs compartilhados. Eles podem permitir que terceiros reutilizem a sessão enquanto ela estiver válida. O verbete de cookie explica os atributos que controlam o transporte desse valor no navegador.

Aplicação na formação

Vibe Coding: Do Zero ao MVP

A sessão relaciona interações com a aplicação e pode manter o estado associado ao acesso autenticado.

Conhecer a formação →