여러가지 헤더 정보들
From
유저 에이전트의 이메일 정보
- 일반적으로 잘 사용되지 않음
- 검색 엔진 같은 곳에서, 주로 사용
- 요쳥에서 사용
Referer
이전 웹 페이지 주소
- 현재 요청된 페이지의 이전 웹 페이지 주소.
- A→B로 이동하는 경우 B를 요청할 때 Referer: A를 포함해서 요청
- Referer를 사용해서 유입 경로 분석 가능
- 요청에서 사용
- 참고 : referer는 단어 referrer의 오타
User agent
유저 에이전트 애플리케이션 정보
- 클라이언트의 애플리케이션 정보 (웹 브라우저 정보, 등등)
- 통계 정보
- 어떤 종류의 브라우저에서 장애가 발생하는지 파악 가능
- 요청에서 사용
Server
요청을 처리하는 ORIGIN 서버(중간에 거치는 서버들 말고 진짜 내 요청을 처리해주는 서버)의 소프트웨어 정보
- 응답에서 사용
- ex) Server : apache
Date
메세지가 발생한 날짜와 시간
- Data: Tue, 15 Nov 1994 08:12:31 GMT
- 응답에서 사용
HOST
요청한 호스트 정보(도메인)
- 요청에서 사용
- 필수 → 중요!
- 하나의 서버가 여러 도메인을 처리해야 할 때
- 하나의 ip 주소에 여러 도메인이 적용되어 있을 때.
Location
페이지 리다이렉션
- 웹 브라우저는 3xx 응답의 결과에 Location 헤더가 있으면, Location 위치로 자동 이동
- 201에서도 사용 (여기서는 요청에 의해 생성된 리소스 URI를 의미)
Allow
허용 가능한 HTTP 메서드
- 405 에서 응답에 포함해야함
Retry-After
유저 에이전트가 다음 요청을 하기까지 기다려야 하는 시간
- 503 응답이 왔을 때 서비스가 언제까지 불능인지 알려줄 수 있음.
- 날짜, 초단위 등으로 표기
Authorization
클라이언트의 인증 정보를 서버에 전달
- Authorization : 인증 값
WWW-Authenticate
리소스 접근시 필요한 인증 방법 정의
- 401 Unauthorized 응답과 함께 사용 → 인증을 하려면 어떻게 해야하는지 정보를 넣어서 줌.
쿠키
웹 브라우저 내의 쿠키 저장소라는 것을 이용하여 특정 값들을 기억한다.
→ 로그인 이후에 요청을 할 때마다 쿠키 저장소에 있는 값들을 조회 후 필요한 값들을 헤더에 넣어서 전송
- 사용처
- 사용자 로그인 세션 관리
- 광고 정보 트래킹
- 쿠키 정보는 항상 서버에 전송됨
- 단점으로 네트워크 트래픽 추가 유발 → 최소한의 정보만 사용 (세션 id, 인증 토큰)
- 서버에 전송하지 않고, 웹 브라우저 내부에 데이터를 저장하고 싶으면 웹 스토리지 참고
- 주의점 → 보안에 민감한 데이터는 저장하면 안됨.(주민번호, 신용카드 번호 등등)
쿠키 생명주기 (expires, max-age)
- Set-Cookie : expires=만료일 (data)
- 만료일이 되면 쿠키 삭제
- Set-Cookie : max-age=3600(3600초)
- 0이나 음수를 지정하면 쿠키 삭제
- 세션 쿠키: 만료 날짜를 생략하면 브라우저 종료시 까지만 유기
- 영속 쿠키 : 만료 날짜를 입력하면 해당 날짜까지 유지.
쿠키 도메인 (Domain)
지정한 도메인에서만 쿠키 사용
- 명시 : 명시한 문저 기준 도메인 + 서브 도메인 포함
- domain = example.org를 지정해서 쿠키 생성 → dev.example.org도 쿠키 접근
- 생략 : 현재 문서 기준 도메인만 적용.
- 서브도메인 접근 불가
쿠키 경로 (Path)
경로를 포함한 하위 경로 페이지만 쿠키 접근, 일반적으로 path=/ 루트로 지정
ex) path=/home 으로 지정하면 → /home, /home/level1, /home/level1/level2 등 하위 url 전부 접근 가능
쿠키 보안 (Secure, HttpOnly, SameSite)
- Secure
- 쿠키는 http, https를 구분하지 않고 전송
- Secure를 적용하면 https인 경우에만 전송
- HttpOnly
- XSS 공격 방지
XSS(Cross-site Scripting) : 악의적으로 사이트에 비정상적인 스크립트를 넣는 기법
- 자바스크립트에서 접근 불가 (document.cookie)
- HTTP 전송에만 사용 - SameSite
- XSRF공격 방지
XSRF(Cross-Site Request Forgery) : 쿠키만으로 인증하는 서비스의 취약점을 이용해, 사용자가 모르게 해당 서비스에 특정 명령을 요청하는 공격
- 요청 도메인과 쿠키에 설정된 도메인이 같은 경우만 쿠키 전송.
참조
https://www.inflearn.com/course/http-웹-네트워크
https://developer.mozilla.org/ko/docs/Web/HTTP
