TOP
記事一覧
クッキーとセッションの違い

クッキーとセッションの違い

更新日：2025/03/06

クッキーとは何か？

Cookieが生まれた背景と理由

HTTPはステートレス（状態を保持しない）

HTTPの通信は、クライアント（例：ブラウザ）からのリクエストと、それに対するサーバーからのレスポンスで成り立っている。

HTTPの問題点

HTTPはステートレス（状態を持たない）なやりとりをしており、前回のリクエストの記憶を持つことができませんでした、、

そこでユーザーの状態を保持するためにクッキーが考えれました。

クッキーを使用し、ユーザーの識別情報をブラウザに保存し、次回アクセス時にサーバーに送信できるようになりました。

クッキーとは

クッキー（Cookie）とは、ユーザーのブラウザに保存する小さなテキストデータ（ファイル）のことです

クッキーの仕組み

実際のデータの流れ

サーバーでクッキー（user_id）を発行します。

<?php
// user_id=12345 をクッキーに設定（有効期限は1時間後）
setcookie("user_id", "12345", time() + 3600, "/");
?>

サーバーが発行したクッキーは、以下のようなテキストデータとしてブラウザに保存されます。

user_id=12345

クッキーがブラウザに保存されている状態でサーバーにリクエストすると、ブラウザが自動的にクッキーの内容を「Cookie」ヘッダーに含めて自動的にサーバーに送信されます。

HTTP/1.1 200 OK
Set-Cookie: session_id=abc123; Expires=Fri, 31 Dec 2025 23:59:59 GMT; Path=/; HttpOnly

サーバーが $_COOKIE でクッキーの値を取得

クッキーでセキュアな情報を扱う際の問題

クッキーは ユーザーのPCやスマホ（ブラウザ）に保存される ため、ユーザー自身や攻撃者が編集可能 です

⬇️

改ざんや盗聴のリスクが伴います

こうしたリスクへの対策として、クッキーの内容は常に信用しないようにし、重要な情報（ユーザーの権限や個人情報など）を直接クッキーに保存しないことが基本です

セッションとは何か？

セッション誕生の背景

クッキーのセキュリティリスクを解決する方法として、サーバー側でデータを管理する「セッション」という仕組みが生まれました。

📌 セッションの考え方

クライアント側には セッションIDだけをクッキーで保存 し、実際のデータはサーバーで管理する。

PHPでのセッション作成の流れ

PHPでセッションを開始するには session_start(); を呼び出します。
$_SESSION 変数を使ってデータをセットできます。

<?php
session_start(); // セッション開始

// ユーザー情報をセッションに保存
$_SESSION["user_id"] = 12345;
$_SESSION["username"] = "JohnDoe";

echo "セッションを作成しました。";
?>

✅ このスクリプトを実行すると、サーバーにセッションデータが保存され、クライアントには PHPSESSID というクッキーがセットされる。

$_SESSION にデータを保存すると、サーバー側のセッションファイルに書き込まれる。
（PHPのデフォルト設定では、セッションデータは /tmp/ や /var/lib/php/sessions/ にファイルとして保存されます。）
次回アクセス時、クライアントのセッションIDを元にサーバーのセッションファイルを読み取り、$_SESSION に復元する。

`$_POST` と `$_SESSION` はセットで使用することが多いです

<?php
session_start(); // セッション開始

if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $username = $_POST["username"];
    $password = $_POST["password"];

    // 仮の認証（通常はデータベースで確認）
    if ($username == "admin" && $password == "pass123") {
        $_SESSION["username"] = $username; // セッションに保存
        echo "ログイン成功！<a href='dashboard.php'>ダッシュボードへ</a>";
    } else {
        echo "ログイン失敗";
    }
}
?>

項目	`$_POST`	`$_SESSION`
データの保存場所	クライアント（HTTPリクエストの本文）	サーバー（セッションファイル）
データの寿命	リクエストが完了すると消える（一時的）	ブラウザを閉じるまで or `session_destroy()` で消える
データのアクセス方法	送信時のみ取得可能	`session_start()` を呼べばいつでも取得可能
主な用途	フォームの入力データの受け取り	ユーザー情報や入力データの一時保存