Los sitios web grandes pueden tener "carga equilibrada" en varias máquinas. En muchas configuraciones de carga equilibrada, un usuario puede golpear cualquiera de las máquinas de back-end durante una sesión. Debido a esto, existen varios métodos para permitir que muchas máquinas compartan sesiones de usuario.
El método elegido dependerá del estilo de equilibrio de carga empleado, así como de la disponibilidad / capacidad de almacenamiento de back-end:
Información de sesión almacenada solo en cookies : la información de sesión (no solo un identificador de sesión) se almacena en la cookie de un usuario. Por ejemplo, la cookie del usuario puede contener el contenido de su cesta de la compra. Para evitar que los usuarios alteren los datos de la sesión, se puede proporcionar un HMAC junto con la cookie. Este método es probablemente el menos adecuado para la mayoría de las aplicaciones:
- No se requiere almacenamiento de backend
- El usuario no necesita golpear la misma máquina cada vez, por lo que se puede emplear el equilibrio de carga de DNS
- No hay latencia asociada con la recuperación de la información de sesión de una máquina de base de datos (ya que se proporciona con la solicitud HTTP). Útil si su sitio está equilibrado por carga en máquinas de diferentes continentes.
- La cantidad de datos que se pueden almacenar en la sesión es limitada (por el límite de tamaño de cookie 4K)
- Se debe utilizar el cifrado si un usuario no puede ver el contenido de su sesión
- Se debe emplear HMAC (o similar) para evitar la manipulación del usuario de los datos de la sesión
- Dado que los datos de la sesión no se almacenan en el servidor, es más difícil para los desarrolladores depurar
El equilibrador de carga siempre dirige al usuario a la misma máquina : muchos equilibradores de carga pueden establecer su propia cookie de sesión, indicando desde qué máquina de fondo está solicitando un usuario, y dirigirlos a esa máquina en el futuro. Debido a que el usuario siempre se dirige a la misma máquina, no es necesario compartir sesiones entre varias máquinas. Esto puede ser bueno en algunas situaciones:
- Es posible que no sea necesario cambiar el manejo de la sesión de una aplicación existente para tener en cuenta varias máquinas
- No se requiere un sistema de base de datos compartido (o similar) para almacenar sesiones, posiblemente aumentando la confiabilidad, pero a costa de la complejidad
- Una máquina de back-end que se apaga eliminará todas las sesiones de usuario que se inicien en ella, con ella.
- Poner las máquinas fuera de servicio es más difícil. Los usuarios con sesiones en una máquina que se desmantelarán por mantenimiento deben poder completar sus tareas, antes de apagar la máquina. Para respaldar esto, los equilibradores de carga web pueden tener una función para "drenar" las solicitudes a una determinada máquina de back-end.
Base de datos de fondo compartida o almacén de clave / valor : la información de la sesión se almacena en una base de datos de fondo, a la que todos los servidores web tienen acceso para consultar y actualizar. El navegador del usuario almacena una cookie que contiene un identificador (como el ID de sesión), que apunta a la información de la sesión. Este es probablemente el método más limpio de los tres:
- El usuario nunca necesita estar expuesto a la información de sesión almacenada.
- El usuario no necesita golpear la misma máquina cada vez, por lo que se puede emplear el equilibrio de carga de DNS
- Una desventaja es el cuello de botella que se puede colocar en cualquier sistema de almacenamiento backend empleado.
- La información de la sesión puede expirar y respaldarse consistentemente.
En general, la mayoría de las aplicaciones web dinámicas realizan una serie de consultas a la base de datos o solicitudes de almacenamiento de clave / valor, por lo que la base de datos o el almacén de clave / valor es la ubicación de almacenamiento lógica de los datos de la sesión.