質問: スマートフォンでのSNSアプリにおける認証やセッションの管理について
回答: 基本的にはクッキーを使います。 クッキーにハッシュ化したID情報などを入れておけばいいだけですね。 #IDと「認証済み」であることが分かればそれでいいので、パスワードを保持する必要はありません ガラケーなら、UIDなど契約者固有番号を使えばもっと安全なんですが、スマホはPCに近いのでそういったものは簡単には利用できませんからね。 ##補足分## ああゴメンナサイ、クライアント側はネイティブアプリでしたね。 なら何も難しいことはなく、クッキーと同等の機能をアプリに持たせればいいだけですね。 アプリが内部的に保存するなら、別にIDとパスワードをそのまま保管したって良いでしょう。 もちろん、ファイルに平文で保存しちゃったりするのはよろしくないので、何らかの暗号化くらいはすべきでしょうが、アプリが独自に保持するなら、アタックを受ける可能性は極めて低いので、ユーザの不正にさえ気をつければ大丈夫かと思います。 まあ、クッキーでやるときと同様に、IDから作られるハッシュ値みたいなものを保存させる形でももちろん良いですけどね。 ID/PASSをそのまま保存する形なら、サーバ側の作りは楽(普通のログイン処理と同様の処理で良い)ですね。 ハッシュ値にするなら、普通のログイン処理+ハッシュ値によるログイン処理を実装するのでちょい手間が増えます。 もっとも、さして大きな差があるわけじゃないですけどね。