Модуль Apache mod_session

Краткое описание

Этот модуль предоставляет поддержку интерфейса сессий на уровне всего сервера для каждого пользователя. Сессии могут использоваться для отслеживания входа пользователя в систему или для другой информации, относящейся к пользователю, которая должна быть доступна во всех запросах.

Сессии могут храниться на сервере или в браузере. Сессии также могут быть необязательно зашифрованы для повышения безопасности. Эти функции разделены на несколько модулей помимо mod_session; mod_session_crypto, mod_session_cookie и mod_session_dbd. В зависимости от требований сервера загружайте соответствующие модули на сервер (статически во время компиляции или динамически через директиву LoadModule).

Сессии могут быть обработаны другими модулями, зависящими от сессии, или сессия может быть прочитана и записана с использованием переменных окружения и HTTP-заголовков, по мере необходимости.

Что такое сессия?

В основе интерфейса сессий лежит таблица пар «ключ-значение», которые доступны в запросах браузера. Эти пары могут быть установлены на любую допустимую строку, в соответствии с потребностями приложения, использующего сессию.

«Сессия» — это строка application/x-www-form-urlencoded, содержащая эти пары «ключ-значение», как определено в спецификации HTML.

Сессия необязательно может быть зашифрована и закодирована в base64 перед записью в механизм хранения, как определено администратором.

Кто может использовать сессию?

Интерфейс сессии в первую очередь разработан для использования другими модулями сервера, такими как mod_auth_form, однако приложения на основе CGI могут получить доступ к содержимому сессии через переменную окружения HTTP_SESSION. Сессии могут быть изменены и/или обновлены путем вставки в HTTP-ответ заголовка с новыми параметрами сессии.

Хранение сессий на сервере

Apache может быть настроен на отслеживание сессий каждого пользователя, хранящихся на конкретном сервере или группе серверов. Эта функциональность похожа на сессии в типичных приложениях-серверах.

При настройке сессии отслеживаются с помощью идентификатора сессии, хранящегося в куки или извлечённого из параметров, вставленных в строку запроса URL, как в типичном запросе GET.

Поскольку содержимое сессии хранится исключительно на сервере, ожидается конфиденциальность содержимого сессии. Это влечёт за собой последствия для производительности и ресурсов в случае большого количества сессий или в случае, когда большое количество веб-серверов должны совместно использовать сессии друг с другом.

Модуль mod_session_dbd позволяет хранить сессии пользователей в базе данных SQL через mod_dbd.

Хранение сессий в браузере

В средах с высокой нагрузкой, где отслеживание сессий на сервере слишком ресурсоёмко или неудобно, существует возможность хранить содержимое сессии в куки на клиентском браузере вместо этого.

Это имеет преимущество, что для отслеживания сессий требуется минимальное количество ресурсов на сервере, и несколько серверов в ферме серверов не нуждаются в совместном использовании информации о сессиях.

Однако содержимое сессии открыто для клиента, что влечёт за собой соответствующий риск нарушения конфиденциальности. Модуль mod_session_crypto может быть настроен на шифрование содержимого сессии перед записью сессии клиенту.

Модуль mod_session_cookie позволяет хранить сессии пользователей в браузере в HTTP-куках.

Основные примеры

Создание сессии так же просто, как включение сессии и выбор места хранения сессии. В данном примере сессия будет храниться в браузере в куки под названием session.

Session On
SessionCookieName session path=/

Сессия бесполезна, если ею нельзя воспользоваться для записи или чтения. Следующий пример показывает, как можно ввести значения в сессию с помощью заранее определенного HTTP-заголовка ответа под названием X-Replace-Session.

Session On
SessionCookieName session path=/
SessionHeader X-Replace-Session

Заголовок должен содержать пары «имя-значение», выраженные в том же формате, что и строка запроса в URL, как в примере ниже. Установка ключа в пустую строку эквивалентна удалению этого ключа из сессии.

#!/bin/bash
echo "Content-Type: text/plain"
echo "X-Replace-Session: key1=foo&key2=&key3=bar"
echo
env

При необходимости сессия может быть считана из переменной окружения HTTP_SESSION. По умолчанию сессия конфиденциальна, поэтому это нужно явно включить с помощью директивы SessionEnv.

Session On
SessionEnv On
SessionCookieName session path=/
SessionHeader X-Replace-Session

После чтения переменная CGI HTTP_SESSION должна содержать значение key1=foo&key3=bar.

Конфиденциальность сессии

Используя функцию «Показать куки» в браузере, вы увидели бы текстовое представление сессии. Это может стать проблемой, если пользователю нужно скрыть содержимое сессии или если у третьих лиц будет несанкционированный доступ к данным в сессии.

Содержимое сессии необязательно можно зашифровать перед размещением в браузере с помощью модуля mod_session_crypto.

Session On
SessionCryptoPassphrase secret
SessionCookieName session path=/

Сессия автоматически расшифруется при загрузке и шифруется при сохранении Apache, приложению, использующему сессию, не нужно знать, что происходит шифрование.

Сессии, хранящиеся на сервере, а не в браузере, также могут быть зашифрованы по мере необходимости, обеспечивая конфиденциальность, когда потенциально конфиденциальная информация обменивается между веб-серверами в ферме серверов с использованием модуля mod_session_dbd.

Конфиденциальность куки

Механизм HTTP-куки также предлагает функции конфиденциальности, такие как возможность ограничить передачу куки только защищенными SSL страницами или предотвратить доступ браузерного JavaScript к содержимому куки.

Стандартные параметры куки можно указать после имени куки, как в примере ниже.

Session On
SessionCryptoPassphrase secret
SessionCookieName session path=/private;domain=example.com;httponly;secure;

В случаях, когда веб-сервер Apache выступает в качестве фронтэнда для серверов-источников бэкэнда, можно удалить куки сессии из входящих HTTP-заголовков с помощью директивы SessionCookieRemove. Это предотвращает доступ к содержимому куки сессии на сервере бэкэнда.

Поддержка сессий для аутентификации

Как и во многих приложениях-серверах, модули аутентификации могут использовать сессию для хранения имени пользователя и пароля после входа в систему. Модуль mod_auth_form сохраняет имя пользователя и пароль пользователя в сессии.

Session On
SessionCryptoPassphrase secret
SessionCookieName session path=/
AuthFormProvider file
AuthUserFile "conf/passwd"
AuthType form
AuthName "realm"
#...

См. модуль mod_auth_form для документации и полных примеров.

Интеграция сессий с внешними приложениями

Чтобы сессии были полезны, необходимо возможность обмена содержимым сессии с внешними приложениями и возможность внешнему приложению записывать собственную сессию.

Типичным примером может быть приложение, которое изменяет пароль пользователя, установленный mod_auth_form. Это приложение должно прочитать текущее имя пользователя и пароль из сессии, внести необходимые изменения в пароль пользователя и записать новый пароль в сессию, чтобы обеспечить плавный переход к новому паролю.

Второй пример может включать приложение, которое регистрирует нового пользователя впервые. После завершения регистрации имя пользователя и пароль записываются в сессию, обеспечивая плавный переход к входу в систему.

Модули Apache

Модули на сервере, которым требуется доступ к сессии, могут использовать API mod_session.h для чтения и записи в сессию. Этот механизм используется модулями, такими как mod_auth_form.

CGI-программы и языки сценариев

Приложения, выполняемые в веб-сервере, могут получить значение сессии из переменной окружения HTTP_SESSION. Сессия должна быть закодирована как строка application/x-www-form-urlencoded, как описано в спецификации HTML. Переменная окружения контролируется настройкой директивы SessionEnv . Сценарий может записать сессию, вернув ответный заголовок application/x-www-form-urlencoded с именем, заданным директивой SessionHeader. В обоих случаях все шифрование или дешифрование и чтение/запись сессии в выбранный механизм хранения обрабатываются модулями mod_session и соответствующей конфигурацией.

Приложения за mod_proxy

Если используется директива SessionHeader для определения заголовка HTTP-запроса, сессия, закодированная как строка application/x-www-form-urlencoded, будет доступна приложению. Если тот же заголовок предоставляется в ответе, значение этого заголовка ответа будет использоваться для замены сессии. Как и выше, все шифрование или дешифрование и чтение/запись сессии в выбранный механизм хранения обрабатываются модулями mod_session и соответствующей конфигурацией.

Автономные приложения

Приложения могут выбрать обработку сессии вне контроля веб-сервера Apache. В этом случае приложение отвечает за чтение сессии из выбранного механизма хранения, дешифрование сессии, обновление сессии, шифрование сессии и запись сессии в выбранный механизм хранения, по мере необходимости.

Session On|Off

Session Off

SessionEnv On|Off

SessionEnv Off

SessionExclude path

SessionExpiryUpdateInterval interval

SessionExpiryUpdateInterval 0 (always update)

SessionHeader header

SessionInclude path

all URLs

SessionMaxAge maxage

SessionMaxAge 0