JWT, COOKIE, SESSION

🤔쿠키

쿠키

• 클라이언트 측(브라우저) 에 저장되는 key-value 형식의 데이터
• response 로 Cookie에 저장하고 request 헤더를 통해 Cookie를 확인할 수 있다.
• 쿠키엔 key-value 말고도 만료 기간, 도메인, 경로, HttpOnly, Secure 등을 설정할 수 있습니다.

쿠키의 특징

• 브라우저에서 변경, 삭제, 추가가 가능하다
  => 보안문제가 높다.

쿠키의 옵션

Expires: 쿠키가 만료되는 날짜
maxAge: 쿠키가 사라지기까지 남은 기간(초)
Domain: 쿠키가 사용되는 도메인
Path: 특정 경로에 접근 시 쿠키 전송
Secure: https 통신에서만 쿠키 전송
HttpOnly: 클라이언트 측에서 쿠키 접근 방지

• maxAge와 expires의 차이점?? maxAge는 초단위 expires는 날짜단위

cookie-parser의 signed 옵션

cookie-parser에도 signed옵션이 존재해 쿠키의 value 변형여부,
비밀키 설정이 가능하다.
하지만 변조를 감지하지 조회를 감지하진 못한다.

결론

쿠키를 장점은 서버에 부하가 줄어든다.
동시에 브라우저에 존재하기 때문에 보안에 취약하다.
쿠키만으로도 보안성 취약점을 잡을 수 있는 방법이 존재한다.

🤔세션

세션

세션(session)은 서버에 저장되는 key-value 형식의 데이터.

세션의 특징

서버에 저장된 발급번호를 통한 유저를 검증한다.
즉 서버에서 사용자의 상태를 제어할 수 있다.
uuid와 같은것을 생성된 세션id는 사용자 측에 저장한다.

🤔JWT

JWT

JsonWebToken으로 JSON 객체를 Base64 URL-safe Encode 로 인코딩하여
비교적 안전하다.

JWT 구조

header.payload.signature 로 구분된다.

• 헤더: 알고리즘과 타입이 들어간다.
• 페이로드: 내용이 들어간다 이 때 미리정의된 클레임중
  jti, iat, exp, sub, iss 등은 기억하고 활용하는 것이 좋다.
• 시그니처: 서버에서 정한 비밀키가 들어있으며, 데이터 위변조를 파악하기 위해 사용한다.

결론

리프래시 토큰과 함께 운용하면 세션방식과 비슷하다.
하지만 세션보다 저장하는 데이터의 양이 적다.

헤더 페이로드는 디코딩하기 매우 편리하다. 그래서 쿠키와 같이
민감한 데이터는 넣지 않도록 한다.

🤔궁금증

컨트롤러에서 서비스를 분리하는 이유

• 가능하면 서비스 로직이 req, res 객체에 접근을 안하는 것이 좋다.
  • req, res 모킹객체를 만들어 테스트를 해야하기 때문에
• 가독성, 코드의 재사용성 향상을 위해 쓴다.
• nestjs의 구조강제성이 협력 시 도움이 된다.
  • express는 간단하지만 자유로워 협력 시 문제가 생길 가능성이 높다.

미들웨어의 res 객체

• middleware에서 여러 메서드를 통해 http요청 사이클이 끝난 후
  response에 접근 response 조작등이 가능하다

• 메서드 종류

  • response.status() : Http 응답의 상태코드를 설정
  • response.send(body) : 응답(body)로 응답 본문을 전송
  • response.json({json}) : json 형식으로 응답을 전송
  • response.redirect('/') : 해당 url로 리다이렉트
  • response.setHeader(name,value) : 헤더 설정
  • response.cookie(name,value) : 쿠키 설정

• 이 때 json, redirect, send 등은 next()를 써주지 않도록 한다.
  next()를 써주게 되면 응답이 복수로 전달되어 오류발생가능성이 생긴다.

Reference

• https://velog.io/@dev2820/nodejs%EC%9D%98-%EC%BF%A0%ED%82%A4
• https://inpa.tistory.com/entry/WEB-%F0%9F%93%9A-Access-Token-Refresh-Token-%EC%9B%90%EB%A6%AC-feat-JWT
• https://inpa.tistory.com/entry/EXPRESS-%F0%9F%93%9A-bodyParser-cookieParser-%EB%AF%B8%EB%93%A4%EC%9B%A8%EC%96%B4
• https://velog.io/@dev2820/nodejs%EC%9D%98-%EC%84%B8%EC%85%98
• https://inpa.tistory.com/559