セッションIDについて

質問

セッション管理について、まったく経験がないので、アドバイスお願いいたします！

現在のWEBシステムですが、なぜかIPアドレスのみでしかアクセスできない作りになっています。
それでは困るので、ドメイン名でアクセスできるようにと改修をお願いしたところ、
今度はドメイン名のみでしかアクセスできないがいいか？・・・と質問が届きました。

普通、WEBシステムを使うほうから考えますと、
IPでアクセスしようが、ドメインでアクセスしようが
どちらでも動くのが当たり前のように思うのですが。

プログラムの作りでそうなってるのかもしれませんが
これって変ですよね？　それともよくあることなのでしょうか？

理由を確認したところ、
サーバ名を用いたURLでの構築を行っていないため、ページ遷移を行うとログインエラーが発生する箇所があるとの事。

システムは管理者の機能と一般の機能があり、当然別々の動きをしなければならないのですが
推測するに、IPアクセスだったら管理者、ドメイン名だったら一般というような判断をしているのでは？と思われます。
IPアクセスのみというのを知らずに、ドメイン名でアクセスして試験をしていたら
途中でURLがIPに変わり（cgiでphpが動いて）、エラーになったのです。

session情報は同ドメイン上で有効であるため、
IPでアクセスした場合とドメイン名でアクセスした場合ではセッション情報を引き継げないため、
ログイン情報無しと判断されるため・・・
が原因ということなのですが
実際、SESSIONIDにはどんな内容が入ってくるのでしょうか？

管理者と一般のふたつの機能をセッションIDを使って、切り分けるのはできないことなのでしょうか？

セッションIDは使ったこともないので問題外かもしれませんが
自分だったら、今は管理者、今は一般・・・というような情報をhiddenに持つとか、
リンクできる情報をテーブルに持つとかするかな．．．
なんて思いながら、セッションID　ってこんな時、どうやって使うのかな？
と疑問だらけです。

セッションIDを使って、ふたつの機能を使い分けることはできないのでしょうか？
または、ふたつの機能を切り分けできる他の方法などありましたらアドバイスいただけないでしょうか？

回答No.1

ralf124c · ベストアンサー

> プログラムの作りでそうなってるのかもしれませんが
> これって変ですよね？　それともよくあることなのでしょうか？

これは変でも何でもありません。
表示されるＨＴＭＬ内で張られているＵＲＬリンクパスが内部的な事情で相対パスでなく絶対パスで管理されているのでしょう。
変えるのなら全部変えないと、ご自身で経験されているようにリンクをたどっていてＵＲＬ記述が変わるとセッションが切れてしまうからです。

セッションはサーバ側だけのものでなく、クライアント側のクッキー情報との連携があって成立するものです。
ユニークなＩＤをブラウザ側でクッキーとして保存してそのＩＤをサーバ側で参照してセッションを確立するのです。
当然、クッキーは「ドメイン名」や「ＩＰアドレス」でなく「ＵＲＬ情報」(＋期限)をベースに保存されます。
ＵＲＬをドメインでアクセスすればドメイン名、ＩＰでアクセスすればそのＩＰアドレスでクッキーは保存されるのです。
これは、サーバがどうたらというものでなくインターネットの仕組みの問題です。
ＵＲＬのＡ(ドメインまたはＩＰ)で保存されたクッキーがＵＲＬのＢ（ドメインまたはＩＰ）から参照できるようならセキュリティ上大問題です。
ＵＲＬが変わってクッキー情報が取得できなければセッションは成立しませんので、セッションは切れて当然です。

もうひとつドメインとＩＰはＤＮＳというサービスでヒモ付けされてはいますが絶対ではありません。
近年のインターネット参加者は元の仕組みを知らないため、まるでドメインがあって当たり前のように思われていますがＤＮＳという分散型データベースのいちサービスによって成り立ってます。
黎明期にはＤＮＳも現在のように統合されておらず、草の根ＤＮＳサービスとかもあって社会政治的(管理されるのがやだとか)または経済的(フリーで登録したいとか)な意味合いから各自のポリシーによってＤＮＳシステムを選択することができた時代もありました（メールもドメインでなくＩＰで普通に送受信できていました）。
近年ではウイルスやマルウェアによってＩＰとドメインのヒモ付けがクライアントのＰＣレベルで偽装工作がされるようになっています。
あくまでインターネットのホスト間通信の基盤はＩＰアドレスだということはキモに命じておいて下さい。
ＤＮＳはＷｅｂやメールと同じ立場のいちサービスに過ぎないもので、有って当たり前というようなものではない(無いと困りますけどね)のです。

さらにもうひとつ、近年ではＷｅｂサーバに仮想ドメインという機能も搭載されて、ひとつのＩＰに複数のドメインをぶら下げ、ドメインごとに設定によってコンテンツを分けるものも有ります。
そのサービスの場合にはＩＰアドレスって表面的には役に立たなくなってしまいますね。

最後にセッションＩＤで機能を使い分ける方法とやらですが、ログイン（セッション接続）状態では管理モード、ログアウト状態では一般というのが普通ですので、その時点で切り分けはできていると思われますがいかがでしょうか。

長文失礼いたしました。

お礼

詳しくアドバイスいただき、ありがとうございます。

今回、カスタマイズが入り、
以前できていたIPからでもドメイン名からでもアクセス可能（どちらかに統一することは条件でしたが）だったのが
いきなり、「IPからのみログイン可能」といわれたので、「何故？」と思った次第です。

エンドユーザは、今まで通り、ドメイン名で作業をするのがわかっていますので慌てました。（クライアントパソコンのデスクトップに貼り付けているショートカットを使うので）

質問させていただいた後、ソフト会社とのやりとりで
ＩＰ、ドメインどちらからでも可能（ログイン時のアクセス方法で統一）ということがわかりました。
日本語は難しいですね。　「ドメイン名でのみアクセス可能」の裏には、「ＩＰまたは・・・」という文字があったようです。

まだまだWEBは奥が深くて理解するまでにはたくさんの勉強と経験が必要のようです。

わかりやすく説明いただき、ありがとうございました！
また何かありましたら、よろしくお願いいたします。