सत्रधर्मः। वितरितताले (२९ सितम्बे) एककर्ता। अत्र प्रवेशः कथं स्मर्यते। सत्रकुञ्चिका, आयुः, कुकी, CSRF। न अनन्तस्मृतिः; सत्रधर्मः।
English (minimizable)
After distributed locks (29 Sep), this post covers session management: strong ids, idle/absolute timeouts, cookie flags, fixation, logout revoke, multi-device, CSRF and token rotation.
पूर्ण-शीर्षकम् / Full title
सत्रधर्मः: A Metrical Codification of Session Management (with English glosses)
English · overview and topics (minimizable)
What this post is about
Sessions persist authentication across requests using server state and/or tokens with careful lifecycle and browser storage rules.
Topics covered
- Why sessions
- High-entropy session ids
- Idle and absolute timeouts
- Cookie flags vs JS storage
- Session fixation / rotate on login
- Server-side logout
- Multi-device revoke
- CSRF
- Access/refresh token pattern
- Link to IAM
Sanskrit title
सत्रधर्मः = satra-dharmaḥ “dharma of the session”.
परम्परा-सन्धिः / Series links
| पूर्वं / Prior | अत्र / Adds | न पुनः / Does not repeat |
|---|---|---|
| पहिचानप्रवेशः (२१ जुलै) | authn/authz | session persistence |
| रहस्यप्रबन्धनम् (१९ जुलै) | secrets | token material |
| वास्तविकसमयसंवादः (१३ सितम्बे) | long sockets | re-auth on connect |
| इदम् | session id lifetime cookie csrf | - |
ग्राह्य-त्याज्य-विवेकः / Keep and avoid
ग्राह्यम् / Keep
१. दृढID: unpredictable session id
२. द्विकालसीमा: idle + absolute
३. HttpOnlySecure: hardened cookies
४. loginजन्म: rotate id on login
५. सर्वरवधः: invalidate server-side
६. यन्त्रसूची: list/revoke devices
७. CSRF रक्ष: state-changing CSRF defense
त्याज्यम् / Avoid
- guessable session ids
- logout only clears client cookie
- infinite access tokens in localStorage as only plan
अध्याय-योजना / Chapter plan
| प्रकरणम् | विषयः | छन्दः | श्लोकाः |
|---|---|---|---|
| १ | मङ्गलं बीजं च / Opening | अनुष्टुभ् | २ |
| २ | मूलतत्त्वानि / Core | अनुष्टुभ् | २ |
| ३ | मुख्यविधिः / Method | उपजाति | १ |
| ४ | रक्षा · विधिः / Guards | अनुष्टुभ् | २ |
| ५ | विवेक · सीमा / Judgment | अनुष्टुभ् | २ |
| ६ | पूर्वसन्धिः / Series links | उपजाति | १ |
| ७ | उपसंहारः / Close | अनुष्टुभ् | २ |
पारिभाषिक-कोशः / Glossary
| Modern English | संस्कृतम् | Note |
|---|---|---|
| session | सत्रम् | |
| session id | सत्रकुञ्चिका | |
| cookie | कुकी / पिष्टकम् | |
| CSRF | परस्थलजालनम् | |
| session fixation | सत्रस्थापनम् | |
| idle timeout | निष्क्रियकालसीमा | |
| absolute timeout | निरपेक्षायुः | |
| refresh token | पुनर्नवीकरणटोकन् | |
| logout | निष्क्रमणम् | |
| HttpOnly | केवलHTTP |
श्लोकः १ (अनुष्टुभ्)
सत्रधर्मस्तस्माद् स्मृतप्रवेशः ॥१॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
पुनःपुनः प्रमाणं यदि सर्वं याचते तदा दुःखम् ।
सत्रधर्मस्तस्माद् स्मृतप्रवेशः ॥१॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| पुनःपुनः | again and again |
| प्रमाणम् | authentication |
| याचते | demands |
| दुःखम् | pain |
| सत्रधर्मः | session dharma |
| स्मृतप्रवेशः | remembered entry |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| पुनःपुनः प्रमाणम् | auth every call painfully |
| सत्रधर्मः | session dharma |
| स्मृतप्रवेशः | remembered access |
English sense
Sessions (or tokens with session-like lifecycle) remember that a user or device already authenticated so every click is not a full login.
Context / topic
Topic: why sessions exist.
वृत्तमिति: ८-८-८-८।
श्लोकः २ (अनुष्टुभ्)
अनुमेया ID चौर्याय ॥२॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
सत्रकुञ्चिका अपारा यादृच्छिका दृढा ।
अनुमेया ID चौर्याय ॥२॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| सत्रकुञ्चिका | session id |
| अपारा | opaque |
| यादृच्छिका | random |
| दृढा | strong |
| अनुमेया | guessable |
| ID | id |
| चौर्याय | for theft |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| अपारा | opaque |
| यादृच्छिका दृढा | strong random |
| अनुमेया ID | guessable id |
English sense
Session identifiers must be high-entropy and unpredictable. Sequential integer session ids are an invitation to hijack.
Context / topic
Topic: session id entropy.
वृत्तमिति: ८-८-८-८।
श्लोकः ३ (अनुष्टुभ्)
अनन्तसत्रं चोरसत्रम् ॥३॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
कालसीमा निष्क्रिये च निरपेक्षायुषि ।
अनन्तसत्रं चोरसत्रम् ॥३॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| कालसीमा | time bound |
| निष्क्रिये | on idle |
| निरपेक्षायुषि | on absolute age |
| अनन्तसत्रम् | endless session |
| चोरसत्रम् | thief session |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| निष्क्रिये | idle timeout |
| निरपेक्षायुषि | absolute lifetime |
| चोरसत्रम् | stolen session lives |
English sense
Use both idle and absolute timeouts. Remember-me is a deliberate longer policy not an accident.
Context / topic
Topic: session lifetime.
वृत्तमिति: ८-८-८-८।
श्लोकः ४ (अनुष्टुभ्)
JSदृश्यसत्रं XSS मित्रम् ॥४॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
भण्डारणं कुकी HttpOnly Secure SameSite युक्तम् ।
JSदृश्यसत्रं XSS मित्रम् ॥४॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| भण्डारणम् | storage |
| कुकी | cookie |
| HttpOnly | HttpOnly |
| Secure | Secure |
| SameSite | SameSite |
| JSदृश्यसत्रम् | script-visible session |
| XSS | XSS |
| मित्रम् | friend |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| HttpOnly Secure SameSite | cookie flags |
| JSदृश्यसत्रम् | JS-readable token as only session |
English sense
Prefer hardened cookies for browser sessions. Putting long-lived tokens only in localStorage makes XSS steal the whole login.
Context / topic
Topic: browser storage choices.
वृत्तमिति: ८-८-८-८।
श्लोकः ५ (उपजाति)
fixation वारयेत् ।
पुरानID
मा वर्धय अधिकारम् ॥५॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
पुनर्जन्मनि प्रवेशे सत्रं नूतनं
fixation वारयेत् ।
पुरानID
मा वर्धय अधिकारम् ॥५॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| पुनर्जन्मनि | at rebirth/login |
| प्रवेशे | entry |
| सत्रम् | session |
| नूतनम् | new |
| fixation | fixation |
| वारयेत् | should block |
| पुरानID | old id |
| मा वर्धय | do not raise |
| अधिकारम् | privilege |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| fixation | session fixation |
| पुनर्जन्मनि प्रवेशे | on login |
English sense
Rotate session id at login and privilege step-up so an attacker-planted id cannot be elevated.
Context / topic
Topic: session fixation.
वृत्तमिति: एकादशाक्षराः पादाः।
श्लोकः ६ (अनुष्टुभ्)
केवलं कुकीशुद्धिः अर्धमुक्तिः ॥६॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
निष्क्रमणे सर्वरे सत्रं म्रियताम् ।
केवलं कुकीशुद्धिः अर्धमुक्तिः ॥६॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| निष्क्रमणे | on exit/logout |
| सर्वरे | on server |
| सत्रम् | session |
| म्रियताम् | must die |
| केवलम् | only |
| कुकीशुद्धिः | clearing cookie |
| अर्धमुक्तिः | half freedom |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| निष्क्रमणे | on logout |
| सर्वरे | server-side |
| अर्धमुक्तिः | half logout |
English sense
Logout must invalidate server session state (or token blocklist/version) not only delete a cookie.
Context / topic
Topic: server-side invalidate.
वृत्तमिति: ८-८-८-८।
श्लोकः ७ (अनुष्टुभ्)
एकचोरे सर्वं मा नश्यतु ॥७॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
यन्त्रसत्रं जनसत्रं च भिद्येताम् ।
एकचोरे सर्वं मा नश्यतु ॥७॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| यन्त्रसत्रम् | device session |
| जनसत्रम् | user session |
| भिद्येताम् | should differ |
| एकचोरे | if one is stolen |
| सर्वम् | all |
| मा नश्यतु | must not die only as total |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| यन्त्रसत्रम् | device/session list |
| एकचोरे | one theft |
English sense
Support multi-device sessions with revoke-one and revoke-all. Account takeover response needs surgical kills.
Context / topic
Topic: multi-device session inventory.
वृत्तमिति: ८-८-८-८।
श्लोकः ८ (अनुष्टुभ्)
SameSite मात्रं न सर्वत्र पर्याप्तिः ॥८॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
CSRF रक्षां कुकीसत्रे देहि ।
SameSite मात्रं न सर्वत्र पर्याप्तिः ॥८॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| CSRF | CSRF |
| रक्षाम् | protection |
| कुकीसत्रे | on cookie sessions |
| देहि | give |
| SameSite | SameSite |
| मात्रम् | only |
| न पर्याप्तिः | not always enough |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| CSRF | cross-site request forgery |
| SameSite मात्रम् | SameSite alone |
English sense
Cookie sessions need CSRF defenses on state-changing routes. SameSite helps but is not the whole story across browsers and embeds.
Context / topic
Topic: CSRF.
वृत्तमिति: ८-८-८-८।
श्लोकः ९ (अनुष्टुभ्)
दीर्घा access मौलिकभये ॥९॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
टोकन् सत्रं refresh चक्रेण मितम् ।
दीर्घा access मौलिकभये ॥९॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| टोकन् सत्रम् | token session |
| refresh | refresh |
| चक्रेण | with rotation |
| मितम् | measured |
| दीर्घा | long |
| access | access token |
| मौलिकभये | in theft danger |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| refresh चक्रेण | refresh rotation |
| दीर्घा access | long-lived access token |
English sense
If using bearer access tokens keep them short and rotate refresh tokens; detect reuse of stolen refresh.
Context / topic
Topic: token session pattern.
वृत्तमिति: ८-८-८-८।
श्लोकः १० (उपजाति)
सत्रं कदा स्मरति ।
उभौ विना
प्रवेशो विकलः ॥१०॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
पहिचानप्रवेशः कः असि वदति
सत्रं कदा स्मरति ।
उभौ विना
प्रवेशो विकलः ॥१०॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| पहिचानप्रवेशः | identity-access dharma |
| कः असि | who you are |
| वदति | says |
| सत्रम् | session |
| कदा | when |
| स्मरति | remembers |
| उभौ विना | without both |
| प्रवेशः | access |
| विकलः | crippled |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| पहिचानप्रवेशः | IAM treatise |
| कदा स्मरति | when remembered |
English sense
IAM decides authentication and authorization rules; session dharma decides how that proof persists safely across requests.
Context / topic
Topic: link to IAM (21 Jul).
सन्धिः: पहिचान कः; सत्रं कदा।
वृत्तमिति: एकादशाक्षराः पादाः।
श्लोकः ११ (अनुष्टुभ्)
एभिः सत्रधर्मः स्मृतप्रवेशसमन्वितः ॥११॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
कुञ्चिका आयुः भण्डारणं जन्म मुक्तिः पञ्चकम् ।
एभिः सत्रधर्मः स्मृतप्रवेशसमन्वितः ॥११॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| कुञ्चिका | session key |
| आयुः | lifetime |
| भण्डारणम् | storage |
| जन्म | rotation at login |
| मुक्तिः | logout/revoke |
| पञ्चकम् | five-set |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| पञ्चकम् | id lifetime storage rotate revoke |
English sense
Five limbs: strong id, bounded life, safe storage, rotate on login and real revoke.
Context / topic
Topic: checklist.
वृत्तमिति: ८-८-८-८।
श्लोकः १२ (अनुष्टुभ्)
मितं स्मरणं क्रियायोग्यं तन्त्रधर्मः स उच्यते ॥१२॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
इति सत्रधर्मसारः स्मृतप्रवेशसमन्वितः ।
मितं स्मरणं क्रियायोग्यं तन्त्रधर्मः स उच्यते ॥१२॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| इति | thus |
| सत्रधर्मसारः | session essence |
| स्मृतप्रवेशः | remembered access |
| मितम् | measured |
| स्मरणम् | memory |
| क्रियायोग्यम् | operable |
| तन्त्रधर्मः | system dharma |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| मितं स्मरणम् | measured remembering |
| तन्त्रधर्मः | platform dharma |
English sense
Closing: remember the user only as long as safety allows and forget on purpose at logout.
Context / topic
Topic: close.
उपसंहारन्यायः: दृढं स्मर; काले विस्मर; चोरे विच्छेदं कुरु।
वृत्तमिति: ८-८-८-८।
श्लोकसूची / Verse index
१. Why sessions
२. Strong ids
३. Timeouts
४. Storage
५. Fixation
६. Logout
७. Multi-device
८. CSRF
९. Token rotation
१०. IAM link
११. Five limbs
१२. Close
सन्दर्भाः / References
- Prior: IAM 2026-07-21; secrets 2026-07-19; realtime 2026-09-13.
- Domain: web/mobile session management.
- Bilingual word-for-word + sense.
- Style: no em dash; no Oxford comma in English clauses.