A HTTP önmagában nem emlékszik: minden kérés független az előzőtől. A munkamenet ezt pótolja. Az első kéréskor a szerver véletlen azonosítót ad, a böngésző sütiben visszaküldi, a szerver pedig ehhez köti a kosarat, a belépést és a beállításokat.
Biztonság
- Aki megszerzi a munkamenet-azonosítót, a látogató nevében járhat el, ezért a süti legyen Secure és HttpOnly.
- Belépéskor új azonosító jár, hogy egy korábban ellopott ne legyen érvényes.
- A munkamenet-adatokat gyors, a webrootból el nem érhető helyen érdemes tárolni, például Redisben.
A gyorsítótárazásnál is számít: ha minden látogató munkamenetet kap, a kész oldalakat nehezebb gyorsítótárból kiszolgálni.