Rails検証報告書: プログラマの思索Railsで特徴的なのは、CookieでHTTP セッションを管理できることだろう。
ここの仕組みが非常に分かりやすい。
Railsの後から付いた機能で一番素敵だと思うのがこの機能です。
「Cookieなんて仕様上は4KBしか保存出来ないんだから寧ろ弱体化してね？」
とか認識されることが多い気がしてならない。
コレ、導入時にも度肝を抜かれて、以降常に、
「ハンパねー、マジCookieセッションハンパねー！」
と脳内のアフロの人が言ってるんですが、大した利点に感じる人は少ないのか、他の言語やWAFで全面採用している例を見たことが無い。
Cookieセッション
そもそもセッションという言葉自体が複数の処理をまとめた単位という広義の意味とWebアプリケーションで複数リクエストにまたがってサーバー側に保存されるデータという狭義の意味が混在して使われているという事情があってWeb上でのテキストコミュニケーションを阻害している。
RailsのCookieセッションと言った場合は広義のセッションだが、狭義のセッションは存在しないと断言すると分り易い気がする。
RailsはHTTP（RESTアーキテクチャスタイル）の原則に従う形で何も共有しないという設計上のポリシーを持っている。
そもそもCookieと言う仕様はステートレスなHTTPプロトコルに広義のセッションを構築する上でNetscapeが考え出した上手い抜け穴だ。
CookieのデータはHTTPヘッダーに記載されて全データが送受信される訳だからHTTPリクエストの内容だけで全ての情報を表現するという原則からはみ出していない。
狭義のセッションに関しては言語仕様やアプリケーションサーバーの実装に委ねられていて、例えばPHP（言語仕様に狭義のセッションが含まれている）とJavaのTomcatとでは全然違う。
殆の実装でそうなっているんだけど、Cookie内の一意のIDをキーにしてサーバー上に（メモリであれ、ファイルであれ）狭義のセッションデータを持っている。
単体のHTTPリクエストやレスポンスで全ての情報を表現できなくてはHTTPの原則であるステートレスとは言えない。（Cookie内のIDがサーバー上のセッションデータを対応しているとしてもそれは単体のHTTPリクエストやレスポンスだけで判断出来ない、/tmp/sess_IDファイルの中にシリアライズされてるとかいった暗黙のルールが含まれている。）
RailsのCookieセッションは広義のセッションの維持はCookieによってのみ維持され、クライアントPCに保存され、それを元にしてステートレスなHTTPリクエストとして送出される。
認証
Rails2.x以降、Cookieセッションに移行すると同時に、認証は「restful_authenticationプラグインを使ってね！」という風にあっさりと変わった。
これは使う側やユーザーにとっては大した違いに見えないが、内部的には認証方式がBASIC認証に変わっている！
これまたファイルやDBに保存するステートフルな認証からステートレスな認証に思い切り変わっている。こんなもん土台をそっくりすり替えちゃう程の大変更だと思うんだけど、上位レイヤーに住んでる人には殆気付かれずに行った。
AtomPP策定のIETFの話し合い内でもあった、「APIと認証関係ねーだろう。認証はHTTPプロトコルの仕事」という身も蓋もない結論をあっさり採用する。そこに痺れる、あこがれる！
HTTPの原則を守る利点
ここまで過激にHTTPの原則を守る最大の利点は、Railsの設計方針としても上げられている「何も共有しない」からもわかるように非常にスケールアウトし易いところだ。そもそも、HTTP（の元のRESTアーキテクチャースタイル）はWebのような大きな分散環境を想定して作られたものである。
シンプルかつスケーラビリティの高いシステムを作るにはREST原則に従うのは理にかなっている。
何故ドラスティックな変更が可能なのか
Ruby界隈では標準仕様を決めてから実装するのではなく、「勝手に実装して、良いものだったら標準にしようか」というノリというか文化がある用に思う。
言語や周辺ツール・ライブラリの整備によって使い物になる実装が出来るまでの時間が恐ろしく短いため、整った仕様よりも、動くコードや自動テストが重視される傾向があるため、時間のかかる抽象的な議論が少なめになるせいではないだろうか。
例としては、最近各言語でxSGIと呼ばれてる仕様も通常、仕様とリファレンス実装を明確に分けるところをRubyではRackが実装を持って標準仕様を決めてしまった。そして実際にRack::RequestとRack::Responseはデファクトとしてあっという間に広まった。
不満
何が俺にこんな長文を書かせるかというと、
「Cookieセッション、BASIC認証を他の言語・環境でも使いたいんだよ！面倒臭くて仕方がない！」
というストレスが爆発したからである・・・。