🍪 Cookie_1

🍪 Cookie 쿠키

무상태 프로토콜인 HTTP의 정보를 부분적으로 기억하기 위해 고안된 방식

• 브라우저는 자동으로 쿠키값을 다 뒤져서 자동으로 쿠기 헤더를 만들어 전달한다.

대표적인 사용 예

• 홈페이지 접속 시 아이디 저장

• 홈페이지 자동 로그인

• 로그인 세션

  • 세션 키를 사용

• 광고 정보 트래킹

• 쿠키 정보는 항상 서버로 전송된다.

  • 네트워크 트래픽
  • 최소한의 정보한 사용 ( 세션 ID , 인증 토큰 )
  • 서버에 전송하지 않고 웹브라우저 내부에 저장하고 싶다면 웹 스토리지를 사용
    • LocalStorage , sessionStorage

• **보안에 민감한 정보는 저장 절대 금지**

Set -Cookie

• 서버 ⇒ 클라이언트 ( Response )

Cookie

• 클라이언트 ⇒ 서버
• HTTP 요청 시 서버로 전달

expires ⇒ GMT 기준 만료일

max-age ⇒ 초단위 ( 0 , 음수 시 삭제 )

• 세션 쿠키
  • 만료 날짜 생략 시 브라우저 종료시까지 유지
• 영속 쿠기
  • 만료 날짜 생략 시 해당 날짜까지 유지

Domain

명시

• 명시한 문서 기준 도메인 + 서브 도메인 포함
  • domain = example.org 지정 후 쿠기 생성 시
  • example.org / dev.example.org 모두 쿠기 적용

생략

• 현재 문서 기준도메인만 적용
  • domain = example.org 지정 후 쿠기 생성 시
  • example.org 만 쿠기 접근

경로

• 작성 시 해당 경로를 포함한 하위 경로 페이지만 쿠키 접근
• 일반적으로 root path를 사용한다.

쿠키 보안

Secure

• 쿠키는 ssl을 구분하지 않는다 ⇒ http , https 구분 못함
• Secure 적용시 Https만 전송

HttpOnly

• XSS 공격 방지
• JS 접근 불가능 ⇒ document.cookie
• HTTP 전송에만 사용

SameSite

• XSRF 공격 방지
  • XSRF ⇒ 사용자의 의지와 무관하게 공격자가 의도한 행위를 특정 웹사이트에 요청하게 하는 공격 방식
• 요청 도메인과 쿠키에 설정된 도메인이 같은 경우에만 쿠키 전동
• 브라우저 지원 수준을 확인해야 한다.