Les grands sites Web peuvent être «à charge équilibrée» sur plusieurs machines. Dans de nombreuses configurations à charge équilibrée, un utilisateur peut toucher n'importe quelle machine principale pendant une session. Pour cette raison, un certain nombre de méthodes existent pour permettre à de nombreuses machines de partager des sessions utilisateur.
La méthode choisie dépendra du style d'équilibrage de charge utilisé, ainsi que de la disponibilité / capacité du stockage backend:
Informations de session stockées dans les cookies uniquement : les informations de session (pas seulement un identifiant de session) sont stockées dans le cookie d'un utilisateur. Par exemple, le cookie de l'utilisateur peut contenir le contenu de son panier. Pour empêcher les utilisateurs de falsifier les données de session, un HMAC peut être fourni avec le cookie. Cette méthode est probablement la moins adaptée à la plupart des applications:
- Aucun stockage backend n'est requis
- L'utilisateur n'a pas besoin de frapper la même machine à chaque fois, donc l'équilibrage de charge DNS peut être utilisé
- Il n'y a aucune latence associée à la récupération des informations de session à partir d'une machine de base de données (car elle est fournie avec la requête HTTP). Utile si votre site est équilibré en charge par des machines sur différents continents.
- La quantité de données pouvant être stockées dans la session est limitée (par la limite de taille des cookies 4K)
- Le cryptage doit être utilisé si un utilisateur ne peut pas voir le contenu de sa session
- HMAC (ou similaire) doit être utilisé pour empêcher la falsification par l'utilisateur des données de session
- Étant donné que les données de session ne sont pas stockées côté serveur, il est plus difficile pour les développeurs de déboguer
L'équilibreur de charge dirige toujours l'utilisateur vers la même machine : de nombreux équilibreurs de charge peuvent définir leur propre cookie de session, indiquant de quelle machine d'arrière-plan un utilisateur fait la demande et les diriger vers cette machine à l'avenir. Étant donné que l'utilisateur est toujours dirigé vers la même machine, le partage de session entre plusieurs machines n'est pas requis. Cela peut être bon dans certaines situations:
- Il n'est peut-être pas nécessaire de modifier la gestion de session d'une application existante pour prendre en compte plusieurs machines
- Aucun système de base de données partagé (ou similaire) n'est requis pour le stockage des sessions, augmentant éventuellement la fiabilité, mais au prix de la complexité
- Une machine principale en panne supprimera toutes les sessions utilisateur démarrées avec elle.
- La mise hors service des machines est plus difficile. Les utilisateurs dont les sessions sur une machine doivent être retirées pour maintenance doivent être autorisés à terminer leurs tâches avant que la machine ne soit éteinte. Pour prendre en charge cela, les équilibreurs de charge Web peuvent avoir une fonctionnalité pour "drainer" les demandes vers une certaine machine backend.
Base de données principale partagée ou magasin de clés / valeurs : les informations de session sont stockées dans une base de données principale, à laquelle tous les serveurs Web ont accès pour interroger et mettre à jour. Le navigateur de l'utilisateur stocke un cookie contenant un identifiant (tel que l'ID de session), pointant vers les informations de session. C'est probablement la méthode la plus propre des trois:
- L'utilisateur n'a jamais besoin d'être exposé aux informations de session stockées.
- L'utilisateur n'a pas besoin de frapper la même machine à chaque fois, donc l'équilibrage de charge DNS peut être utilisé
- Un inconvénient est le goulot d'étranglement qui peut être placé sur le système de stockage dorsal utilisé.
- Les informations de session peuvent expirer et être sauvegardées de manière cohérente.
Dans l'ensemble, la plupart des applications Web dynamiques exécutent un certain nombre de requêtes de base de données ou de demandes de magasin de clés / valeurs, de sorte que la base de données ou le magasin de clés / valeurs est l'emplacement de stockage logique des données de session.