先生と生徒の会話形式で理解しよう

生徒

「Webアプリでデータを保存するとき、セッションとクッキーのどちらを使えばいいのか迷っています。何が違うんですか？」

先生

「Play Frameworkでは両方扱えますが、実は役割やセキュリティの仕組みが大きく違うんですよ。」

生徒

「ログイン情報とかはどっちに入れるべきなんでしょうか？具体的などのようにコードを書くのかも知りたいです！」

先生

「それぞれの特徴を理解すれば、正しい使い分けができるようになります。まずは基本的な違いから順番に見ていきましょう！」

1. セッションとCookieの基本的な役割の違い

Webアプリケーションにおいて、データの保存場所を知ることは非常に重要です。まず、Cookie（クッキー）はブラウザ側に直接保存される小さなテキストデータです。一方で、Session（セッション）は広義には「ユーザーのひとまとまりのアクセス」を指しますが、Play Frameworkにおいては「暗号化・署名された特別なクッキー」のことを指します。

多くの一般的なフレームワーク（PHPやRuby on Railsなど）では、セッションの実体はサーバー側に保存されますが、Play Frameworkは「ステートレス」という設計思想を持っており、セッション情報もブラウザ側に保存されるという特徴があります。この違いを理解することが、Play Frameworkを使いこなすための第一歩となります。SEOキーワードでも「セッションクッキー違い」は非常によく検索される重要なテーマです。

2. Cookieの具体的な保存方法とJavaコード

Cookieは、暗号化されない生データとしてブラウザに保存されるのが一般的です。そのため、ユーザー設定（画面のテーマ色など）といった、万が一見られても困らないデータの保持に向いています。Play FrameworkでJavaを使ってCookieをセットする方法を確認してみましょう。

コントローラーのResultに対してwithCookiesメソッドを呼び出すことで、ブラウザにCookieを送信できます。以下の例では、ユーザーの言語設定をCookieに保存しています。


import play.mvc.*;
import play.mvc.Http.Cookie;

public class CookieController extends Controller {
    public Result setLanguage() {
        // "language"という名前で"ja"（日本語）という値を保存します
        return ok("言語設定を保存しました")
            .withCookies(Cookie.builder("language", "ja").build());
    }
}

このコードを実行すると、ブラウザの管理画面で「language=ja」というデータを確認できるようになります。これがCookieの基本的な動きです。

3. セッションの具体的な保存方法とJavaコード

次にセッションを見ていきましょう。Play Frameworkのセッションは、データがサーバーによって署名されているため、ユーザーが勝手に中身を書き換えることができません。そのため、ログインしているユーザーのIDなど、セキュリティが重要な情報の保持に適しています。

セッションへの保存にはaddingToSessionメソッドを使用します。Cookieの保存方法と似ていますが、扱うメソッドが異なる点に注目してください。


import play.mvc.*;

public class SessionController extends Controller {
    public Result login() {
        // セッションにユーザーIDを保存して、ログイン状態を作ります
        return ok("ログインに成功しました")
            .addingToSession(request(), "user_id", "12345");
    }
}

このデータはブラウザ側に保存されますが、Play Frameworkの秘密鍵によって署名されているため、ユーザーが「12345」を「99999」に書き換えて他人に成り代わることはできないようになっています。

4. 保存されたデータの読み取り方の比較

保存したデータを取得する方法も、Cookieとセッションで異なります。Cookieはrequest().cookie()から取得し、セッションはrequest().session()から取得します。どちらもOptionalという仕組みを使って、値がない場合の処理を安全に記述できます。


public Result checkData(Http.Request request) {
    // セッションからユーザーIDを取得
    String userId = request.session().get("user_id").orElse("未ログイン");

    // Cookieから言語設定を取得
    String lang = request.cookie("language")
        .map(c -> c.value())
        .orElse("default");

    return ok("ユーザーID: " + userId + " / 言語: " + lang);
}

JavaのmapやorElseといった命令を使うことで、エラーを防ぎながらスマートに値を取り出すことができます。パソコン初心者の方向けに補足すると、これは「もし箱の中にデータがあったら取り出し、空っぽなら代わりの文字を使う」という便利な書き方です。

5. 有効期限とライフサイクルの違い

Cookieとセッションでは、データが消えるタイミングの設定方法も異なります。通常のCookieはMax-Age（マックスエイジ）という属性を指定することで、1時間後、1日後、あるいは1年後まで保存し続けることが可能です。

一方、Play Frameworkのセッションは、デフォルトではブラウザを閉じると消えてしまいます（セッションCookie）。ただし、設定ファイル（application.conf）を書き換えることで、セッションの有効期限を延ばすことも可能です。一時的な「状態」を維持するのがセッション、長期間の「好み」を保存するのがCookieという使い分けが一般的です。このライフサイクルの違いを理解することは、Webアプリの設計において非常に重要です。

6. セキュリティと改ざん耐性について

ここが最も重要なポイントです。Cookieは改ざんが可能であり、セッションは改ざんが困難です。Cookieはブラウザ上の開発者ツールを使えば誰でも値を書き換えられます。そのため、Cookieの値をそのまま信用して「この人は管理者だ」と判断するようなプログラムを書いてはいけません。

Play Frameworkのセッションは、前述の通りデジタル署名が施されています。もしユーザーが無理やり値を書き換えると、サーバー側で「署名が一致しない！」と検知し、そのデータは無効化されます。これを改ざん耐性（かいざんたいせい）と呼びます。プログラミング未経験の方は、「大事な情報は必ずセッションに入れる」というルールを徹底しましょう。

7. 保存できる容量の制限に注意

ブラウザに保存できるデータ量には限りがあります。一つのドメインに対して、Cookie全体で約4KB（キロバイト）までしか保存できません。Playのセッションも結局はCookieとして保存されるため、この合計4KBの制限の中に収める必要があります。

大量のデータを保存しようとすると、ブラウザがデータを受け取らなくなったり、通信速度が低下したりする原因になります。セッションやCookieには必要最小限のIDやフラグだけを保存し、詳細なデータ（ユーザーのプロフィール全文など）はサーバーのデータベース（DB）に保存するのがWeb開発のベストプラクティスです。これを守ることで、高速で安定したWebアプリを提供できます。

8. 実際の開発における使い分けのまとめ

ここまでの内容を整理すると、実際の開発現場では以下のように使い分けます。

Cookieを使う場面： 画面の表示モード（ライト/ダーク）、非ログイン状態での閲覧履歴、広告のトラッキング、一度閉じた案内ポップアップの再表示防止など。
Sessionを使う場面： ログインユーザーの識別子、ショッピングカートの一時的なID、複数ページにまたがるフォーム入力の途中経過など。

Javaで書く際も、これらを目的に応じて正しくメソッドを使い分ける必要があります。Google検索エンジンで上位を狙うためにも、こうした具体的なユースケースを解説することは、読者にとって非常に有益な情報となります。

9. Play Framework特有の注意点

最後に、Play Framework独自の話として「セッションには機密情報を入れない」という点に触れておきます。セッションは署名されているため「書き換え」はできませんが、「中身を見る」ことは可能です。つまり、暗号化（中身を分からなくすること）とは別物なのです。

ユーザーのパスワードやクレジットカード番号などをセッションに保存してはいけません。誰でもブラウザを開けば中身を覗き見ることができてしまうからです。これを知らずに開発してしまうと、重大なセキュリティ事故に繋がります。Play FrameworkでのWeb開発を楽しみながら、こうした「安全なコードの書き方」もしっかり身につけていきましょう！