1. 쿠키(Cookie) & 세션(Session) + JWT

인증/인가 > 3개의 해결책

"쿠키"라는 단어자체가 친숙해서였는지 만만하게 보았다. 당분간 서브웨이 쿠키는 입에도 대지 않을 예정이다.
물론 쿠키와 세션 모두 이전에 들어봤고 대충 어떤 것인지는 알고있었고 프로젝트에 적용해본 적도 있던 경험이 있지만 이렇게 딥하게 들어간 적도 없었다.. 쿠키&세션 그리고 거기서 파생되는 HTTPS보안 등을 알아볼까한다. 내용이 워낙 많다보니 글을 나눠서 포스팅 할 예정이다.

---

 

Stateless & Stateful

 

내가 이해한 바로는, HTTP는 기본적으로 클라이언트와 서버 간의 요청이 독립적인 Stateless(비상태성, 비연속성)이다.

서버는 각 요청이 별개의 클라이언트로부터 온 것처럼 처리하며, 이전 요청과 현재 요청 간의 관계를 유지하지 않는다.

반대로 Stateful(상태성, 연속성)은 서버가 클라이언트와의 연결 상태를 유지하고, 이전 요청과 현재 요청 간의 관계를 기억하며 처리하는방식이다. 

 

Cookie & Session → Stateful

사용자가 로그인한 후 페이지를 이동하면, 서버는 사용자가 이전에 로그인했는지 알 수 없다. 이를 해결하기 위해 쿠키나 세션(Stateful)을 사용하여 상태를 유지한다.

 

---

Stateful HTTP: Cookie & Session

쿠키와 세션은 저장 장소로 구별할 수 있다.

• Cookie
  • 저장 위치: 쿠키는 클라이언트(웹 브라우저)측에 저장된다.
  • 서버가 클라이언트에게 제공한 데이터를 클라이언트 측에 저장해 이후 요청 시 이 데이터를 다시 서버에게 전송한다. 이를 통해 서버는 사용자를 식별할 수 있다.
  • 쿠키는 어떤 값이든 가능하나, 일반적으로 노출 방지를 위해 인간이 이해할 수 없는 형태로 저장한다.
  • 사용방식:
    • 서버가 클라이언트에 쿠키를 설정하는 방법: 'Set-Cookie' 헤더를 통해 클라이언트에 전달한다.  

'Set-Cookie': Web Server가 Web Browser한테 헤더에 담아서 옵션을 제공한다. → Key-Value값, Domain, Path, Expires, HttpOnly (더 자세하게 다룰 예정)

• 장점: 클라이언트 측에서 데이터를 저장하고 관리하므로 서버 자원을 절약할 수 있음.
• 단점: 클라이언트 측에 저장되므로, 보안에 취약하고 데이터 크기가 작음(4KB) → 이를 보완하기 위해 Web Storage 사용(추후에 다룰예정)

• Session
  • 저장 위치: 세션은 서버 측에 저장된다.
  • 서버가 클라이언트의 세션 데이터를 서버내에 저장하고 클라이언트에게 세션 ID만 전달하여 이를 통해 클라이언트를 식별한다.
  • 클라이언트는 이휴 요청에서 세션 ID를 서버에 전송하여 서버는 해당 세션을 조회해 관련 데이터를 가져온다.
  • 장점: 민감한 정보를 서버측에 안전하게 저장가능하고, 대량의 데이터를 저장할 수있다.
  • 단점: 서버 측 자원을 더 많이 사용하게 된다.
   

Cookie와 Session ID 전달 방식

 

Cookie VS Session

 

• +@ JWT(JSON Web Token)stateless한 HTTP위에서 인증/인가의 해결책엔 Cookie, Session, Token(JWT) 총 세가지가 있다.
  • 동작 방식:
    1. 사용자가 로그인하면, 서버는 JWT를 생성하여 클라이언트에게 전달
    2. 클라이언트는 JWT를 로컬 스토리지나 쿠키에 저장하고 이후의 모든 요청에 JWT를 포함시킨다.
    3. 서버는 요청을 받을 때마다 JWT를 검증하고 토근에 포함된 정보를 바탕으로 요청을 처리한다.
  • 장점:
    • Stateless: 서버는 사용자 세션을 유지할 필요가 없고, 모든 상태 정보는 JWT에 포함되어 있어 서버 부하가 줄어든다.
    • 확장성: 서버 간에 상태를 공유할 필요가 없어, 서버를 자유롭게 확장할 수 있다.
  • 단점:
    • 보안: JWT가 노출되면, 토큰이 만료될 때까지 누구나 해당 토큰을 사용할 수 있게된다. 이를 방지하기 위해 토큰의 만료 시간을 설정하고나, HTTPS를 사용해 전송을 보호해야한다. (추후에 다룰예정) 다룰게 너무많다..
    • 크기: JWT는 모든 상태 정보를 포함하고 있기 때문에 각 요청에 포함되는 데이터가 커질 수 있다.
  • JWT 생성 방식 :
    • 해당 링크를 통해 JWT가 만들어지는 방식을 확인할 수 있다.
    • https://jwt.io/#debugger-io

JWT.IO

 

---

 

 

이해를 돕기 위한 영상

https://youtu.be/tosLBcAX1vk

참조영상: 세션 vs 토큰 vs 쿠키? 기초개념 잡아드림. 10분 순삭! (Youtube. 노마드 코더)

 

 

 

다음 포스팅은 Cookie에 대해 더 자세하게 설명할 예정이다.

 

 

---

ℹ️참고

[ASAC 6기 강의자료]

 

https://phpcontrols.com/blog/cookie-and-session

Cookie and Session - PHP Controls

 

https://dev.gmarket.com/45

인증/인가는 어디에 어떻게 구현해야 할까?