Как устроены сессии в Mojolicious?!

В этом посте я не буду рассказывать про API для работы с сессиями, это можно найти в документации к Mojolicious, а постараюсь объяснить как устроены сессии внутри.

Mojolicious использует сookies для хранения сессий. И это достаточно важный момент. Такой подход позволяет нам следовать REST идеологии. Мы можем отказаться от лишних состояний на стороне сервера, нам не нужно обеспечивать общего пространства для доступа к сессиям с разных серверов.

Но имеется несколько важных нюансов:

1. Старайтесь не делать сессии большими, поскольку эти данные будут передаваться при каждом запросе, а максимально безопасный размер cookie - 4кб.
2. Вопрос авторства данных.

С первым пунктом все ясно, а относительно второго, то это решается либо шифрованием либо подписью cookies. Mojolicious использует подписанные(signed) cookies.

Что должна обеспечивать подпись?

Начнем с того, что любая подпись (включая подпись ручкой на бумаге) должна обеспечить следующие две вещи:

1. Идентифицировать автора подписи.
2. Гарантировать, что после того, как документ подписали, он не изменялся.

Подписанный документ не подразумевает того, что он должен быть зашифрован. Соответственно подписанные cookies не обязаны быть зашифрованными.
Мы оставляем документ в открытом виде и лишь добавляем к нему подпись(цифровую или ручкой на бумаге)

Стандартная реализация

Допустим, нам необходимо подписать текст "foobar".
Подпись создаем следующим образом: md5_hex("foobar" . $secret_key). Если $secret_key равен  "mysecret", то мы получим подпись вида - "c232332be32fec146ef0fdb82bb913d2". Подписанный документ может выглядеть так -  "foobar---c232332be32fec146ef0fdb82bb913d2".  И если кто-то попробует изменить текст с "foobar" на "barfoo", то он сможет это сделать, но не сможет переподписать измененный документ, поскольку он не знает $secret_key.


Сразу оговорюсь, что в классическом варианте электронной цифровой подписи используются ассиметричное шифрование для того, чтобы предоставить третим лицам возможность сверки подписи. Поскольку в нашем случая сверять подпись будет только ее автор, то для нас это не актуально.

Таким образом, сессия сохраненная в cookies доступна для чтения на клиентской стороне ( при помощи javascript ), но недоступна для изменения.

Необходимо обратить внимание на следующие вещи:

1. Если кто-то узнал $secret_key, то его необходимо изменить, и это автоматически сделает все сессии недействительными.

2. Поскольку сессии не хранятся на сервере, то нельзя просто взять и удалить файл. И для того, чтобы сессия не была вечно действительна в нее добавляют временную метку, которая определяет время жизни сессии.

Как реализованы сессии в Mojolicious?

Вот как выглядит cookie с сессией в Mojolicious приложении -

"mojolicious=BAcIMTIzNDU2NzgECAgIAwMAAAAKATUHAAAAdXNlcl9pZAaLg2lNAAAAAAcAAABleHBpcmVzCgd0ZXN0MTAwBQAAAGxvZ2lu--6bdbaee00738ed3c2793d518857cfc9b"

И получили мы это приблизительно ( реальный код можно посмотреть в Mojolicious::Sessions и Mojolicious::Controller ) таким образом:

use Storable qw/freeze/;
use Mojo::Util qw/b64_encode hmac_md5_sum/;

sub store_session {
    # Get controller instance
    my $self = shift;
    
    # Get session hashref
    my $session = $self->stash('mojo.session');  

    # Set session expiration
    my $expires = time + $self->default_expiration();
    $session->{expires} = $expires;
    
    # Serialize session
    $value = b64_encode( freeze($session) );
    $value =~ s/\=/\-/g;
    
    # Secret
    my $secret = $self->app->secret;
  
    # Sign session
    my $signature = hmac_md5_sum( $value, $secret );
    $value .= "--$signature";
    
    # Create cookie
    my $cookie = $self->cookie('mojolicious', $value, { expires => $expires });
}

Использование Storable для сериализации позволяет выиграть в скорости, но лишает нас возможности читать данные сессии на стороне клиента( при помощи javascript ). Использование формата JSON  дало бы нам эту возможность.

UPD: Если работа с сессией предполагается на двух или более серверах, Storable принесет за собой еще один подводный камень. Если по какой-то причине версии этого модуля на машинах станут разными, данные перестанут распаковываться. Об этом придется помнить всегда.

Предыдущие посты про Mojolicious:

• Пример приложения на Mojolicious ( не Lite )