What are the implications of maintaining user roles and permissions within the session object?

Đáp án đúng: "Advisable to reduce the frequency of database queries, hence optimizing performance.". Dữ liệu đặt trong phiên nằm ở bộ nhớ phía máy chủ, client chỉ giữ mã phiên, nên sau khi đăng nhập một lần ta đọc vai trò và quyền từ phiên cho mọi yêu cầu sau mà không phải hỏi lại cơ sở dữ liệu; với ứng dụng mà trang nào cũng cần kiểm quyền thì số truy vấn tiết kiệm được rất đáng kể, và đó đúng là hệ quả câu hỏi nhắm tới. "This method is both secure and efficient, providing immediate retrieval of authorization details" khẳng định quá mạnh ở chữ an toàn: cách làm này vẫn phải chống việc chiếm mã phiên và vẫn phải làm mới khi quyền thay đổi, nên gọi nó vừa an toàn vừa hiệu quả là không chính xác. Lựa chọn cho rằng cách này "unsafe because there is a risk that someone could change the session information" lại mô tả sai cơ chế: nội dung phiên không nằm phía client nên người dùng không sửa trực tiếp được, khác hẳn dữ liệu đặt trong cookie hay trường ẩn. "There are no identified disadvantages; this technique is widely endorsed for managing access controls" sai vì nhược điểm có thật và dễ chỉ ra: quyền bị thu hồi trong cơ sở dữ liệu không tự phản ánh vào phiên đang mở, và dữ liệu phiên chiếm bộ nhớ nên phải nhân bản khi chạy nhiều máy.