Session Cookie
সেশন কুকি
Server-side state-এর reference বহনকারী opaque cookie — login-এর পর প্রতিটা request-এ ফিরে আসে, server session lookup করে user চেনে।
also: session-id, session-token
login সফল → server: session_id তৈরি, DB/Redis-এ state সংরক্ষণ
→ client: Set-Cookie: session_id=... ; HttpOnly; Secure; SameSite=Lax
প্রতি request → cookie ফেরত → server session_id দিয়ে state lookup করেHttpOnly— JavaScript cookie পড়তে পারে না, stolen cookie via XSS ঠেকায়Secure— শুধু HTTPS-এ পাঠানো হয়;SameSite— cross-site request-এ cookie attach হওয়া বন্ধ করে, CSRF-এর against browser-level defense- Stateful — server-side lookup লাগে, কিন্তু revoke instant (record মুছলেই session মৃত) — JWT-র বিপরীত trade-off