쿠키와 세션을 사용하는 이유
해당 이유에 대해서 설명하기 위해선, HTTP 프로토콜의 특징에 대해서 이해해야 한다.
HTTP 프로토콜의 특징
- 비연결 지향 ( Conncetionless )
- HTTP는 기본적으로 클라이언트가 서버에 요청을 보내면, 서버는 해당 요청에 대한 응답을 클라이언트에게 전달하고 연결을 끊는다.
- 상태 정보를 유지하지 않음 ( Stateless )
- HTTP 통신은 상태를 저장하지 않는다.
- 따라서, 이전의 데이터 요청과 그 후의 데이터 요청은 전혀 관련이 없다.
- 사용자 인증, 쇼핑 카트 등의 기능을 구현할 때 어려움이 있음.
HTTP 프로토콜의 stateless 한 특징을 보완하기 위해, 쿠키나 세션을 사용하는 것 이 효율적이다.
물론 사용자의 상태정보나 쇼핑카트의 상태를 데이터베이스에 저장해서 사용하는 것이 불가능한 것은 아니지만, 이런 방식이 가져오는 단점(응답시간의 증가, 서버 부하 증가)들이 있기에 쿠키와 세션을 사용한다.
쿠키 ( Cookies )
-
쿠키란 ?
- 클라이언트(웹 브라우저)에 저장되는 작은 데이터 조각이다.
- 사용자 인증, 현재 사용자가 쇼핑카트에 담은 아이템, 등의 정보를 저장할 수 있다.
- 쿠키는 사용자의 브라우저에 저장되므로, 사용자가 직접 삭제하지 않는 이상 일정 기간 동안 데이터를 유지할 수 있다.
- 그러나 위에 설명한 이유로 보안에 취약하기에 인증 정보와 같은 민감한 데이터를 직접 저장하는 것은 좋지 않다.
-
쿠키의 특징
-
이름 ( Name ) , 값 ( Value ), 만료일, 경로 정보 등으로 구성되어 있다.
-
하나의 쿠키는 최대 4KB의 데이터를 저장할 수 있다.
-
하나의 도메인당 총 20개의 쿠키를 저장할 수 있다.
-
하나의 웹 바라우저에서 총 300개의 쿠키를 저장할 수 있다.
-
-
쿠키를 사용할 시 동작 순서
-
사용자가 웹사이트에 처음 방문한다.
-
서버는 필요에 따라 쿠키를 생성한다 ( 사용자 로그인, 장바구니에 상품추가 )
-
생성된 쿠키 정보를 HTTP의 응답 헤더에 담아 클라이언트에게 전달한다.
-
전달받은 쿠키를 클라이언트는 저장한 후, 다시 서버에 요청할 때, 함께 쿠키 정보를 전송한다.
-
만일 동일한 사이트를 다시 방문했을 때, 쿠키가 있으면, 요청 페이지와 함께 쿠키를 전송한다.
-
세션 ( Session )
-
세션이란 ?
-
서버 측에서 관리하는 사용자의 정보.
-
일정 시간 동안 같은 사용자 ( 브라우저 )로부터 들어오는 일련의 요구를 하나의 상태로 보고 그 상태를 일정하게 유지시키는 기술.
-
일정시간 : 방문자가 웹 브라우저를 통해 웹 서버에 접속한 시점부터 웹 브라우저를 종료하면 연결을 끝내는 시점.
-
쿠키를 사용해 해당 세션의 ID를 클라이언트에 저장하게 할 수 있으며, 클라이언트는 이후 요청마다 이 세션 ID를 통해 서버가 사용자를 식별할 수 있게 한다.
-
-
세션의 특징
-
웹 서버에 저장되는 쿠키 ( = 세션 쿠키 )
-
브라우저를 닫거나, 서버에서 세션을 삭제했을 때만, 삭제됨. → 쿠키보다 비교적 보안이 좋다.
-
저장 데이터에 제한이 없다. ( 서버의 용량이 허용하는 한에서 )
-
각 클라이언트의 고유 Session ID를 부여한다. → 해당 Session ID로 클라이언트를 파악 후 요청에 대응.
-
-
세션을 사용할 시 동작 순서
-
사용자가 웹사이트에 처음 방문한다.
-
서버는 방문한 클라이언트가 요청을 보낼 때 Session-ID를 보냈는지 확인한다.
-
Session-ID 가 존재하지 않는다면, 서버는 Session-ID를 생성해 클라이언트에게 전달한다.
-
클라이언트는 서버로부터 받은 Session-ID 값을 쿠키에 저장한다.
-
클라이언트는 서버에 요청 시, 쿠키에 저장된 Session-ID 값을 서버에 전달한다.
-
서버는 해당 Session-ID를 사용해 요청을 처리 후 응답한다.
-
쿠키와 세션의 차이
-
쿠키와 세션은 비슷한 역할을 한다. ( 세션방식을 사용해도 결국 쿠키에 Session-ID를 사용하기 때문)
-
가장 큰 차이점은 사용자의 정보가 저장되는 위치.
-
쿠키 - 브라우저
-
세션 - 서버
-
-
쿠키는 클라이언트 로컬에 저장되기 때문에 변질 또는 request에서 스니핑 당할 우려가 있어 보안에 취약.
-
세션은 쿠키를 이용해서 Session-ID 만 저장하고, 그것으로 구분하여 서버에서 처리하기에 비교적 안전.
-
만일 세션 ID가 탈취당하면?
-
세션 ID가 탈취당하면, 공격자는 그 세션 ID를 이용해 사용자인 척 웹 사이트를 이용할 수 있습니다. 이를 "세션 하이재킹"이라고 하며, 이를 방지하기 위한 다양한 보안 방법(Secure Flag, HttpOnly Flag )이 존재합니다.
-
-
라이프 사이클
-
쿠키의 경우 만료기간이 있지만, 파일로 저장되기 때문에 브라우저를 종료해도 정보가 유지될 수 있다.
-
세션의 경우 만료기간을 정할 수 있지만, 브라우저가 종료되면 만료기간에 상관없이 삭제된다.
-
세션을 사용하면 좋은 점이 많은데 왜 쿠키를 사용할까??
세션이 쿠키에 비해 보안이 높은 편이나, 애초에 세션은 단독적으로 사용이 불가능하며, 서버의 자원을 사용하기에 한계가 있고, 속도가 느려질 수 있기에 자원관리 측면에서 쿠키와 세션을 적절하게 병행해서 사용하는 것이 가장 효율적이다.
