siz sadece girişte, login olurken kimlik doğruluyorsunuz. Kimlik doğruladıktan sonra banka'nın bir nevi, iç bankacılık sisteminin bir bölümüne erişmiş oluyorsunuz.
Artık kimliğiniz doğrulandığı ve bir üye numarası, ID(kimlik) aldığınız için size tanımlı rollerin yetkileri doğrultusunda tasarlanmış menüleri görüyorsunuz.
Eğer bu işi protokol bazında HTTP flaglerine kadar irdeleyeceksek, siz her GET veya POST request'ine kimliğinizi doğruladığınızı belirten değişkenler ve header'lar ekliyorsunuz. Bunu sizin adınıza browser'lar ve diğer ağda bulunan cihazlar yapıyor.
Sizin login olduğunuz bilgi, browser'daki session storage + cookie içerisinde tutulabilir. İlla böyle olacak diye bir kavram yok. Bankacılık yazılımına bağlı fakat tek bir sunucu hizmet etmeyeceği ve yüzlerce sunucudan oluşan parkurları varsayarsak cookie'de tutmalı ki session tutarlığını sağlayabilsin.
Bu bilgileri her işlem yaptığınızda gönderiyorsunuz; cookie'de bulunan değer ile sunucu/lb tarafında olan değer eşleşmez ise force logout ediliyor yani oturumunuz kapatılıyor.
Gerçek hayatta da kurumsal bir şirketi düşünün, kartlı giriş sistemi olsun. Size Teknisyen rolü atanmış olsun ve bu Teknisyen rolünün içeride girebileceği oda'lar ve açabileceği kapılar belli olsun. En yakın örnek bu olur lakin, bankacılık sisteminde size tanımlı olmayan ekranları görmezsiniz(istediğiniz odaya gidemezsiniz) dolayısıyla fiziksel bina'da da göremediğiniz ama girilebilen kapı'lar olmalı :)
Çok uzattım, bu bilgiler browser ve sunucu/ağ cihazlarında ayrı ayrı tutulabilir. Güvenlik ve oturum tutarlığı içinde her işlemde kontrol edilir, edilmesi beklenir.
Kontrol edilmeyen sistemler zafiyet içerir (bkz:
idor). O da başka bi sorunun konusu olur.