🗂️ 토큰, 세션, 쿠키 란?

🍪 쿠키란?

쿠키는 브라우저가 관리하는 작은 데이터 조각으로, 서버가 클라이언트에게 응답할 때 저장을 요청하고, 이후 클라이언트가 해당 사이트에 재접속할 때 자동으로 함께 전송되는 데이터이다. 즉, 웹사이트가 사용자에 대해 기억하고 싶은 걸 살짝 적어두는 메모이다.

🔁 쿠키 작동 방식

1. 쿠키 만들기 (서버 -> 브라우저)

서버: 이 사용자 로그인했네? 그럼 메모 적자!
Set-Cookie: isLoggedIn=true

브라우저는 이걸 받아서 저장해둔다.

2. 자동으로 보내기 (브라우저 → 서버)

다시 그 사이트에 들어가면, 브라우저가

Cookie: isLoggedIn=true

이런 식으로 자동으로 쿠키를 보낸다.
그러면 서버는
"오! 로그인 되어 있네~"
하고 바로 서비스를 보여줄 수 있다.

쿠키 단점

누구나 볼 수 있는 메모라 보안에 주의해야한다.
-> 중요한 쿠키에는 자바스크립트로 못 보게 잠그는 HttpOnly 옵션을 붙인다.
-> https에서만 쓰게 하는 Secure 옵션을 쓰기도 한다.

🎟️ 세션이란?

세션은 클라이언트(사용자)와 서버 간의 연결 상태를 일정 시간 동안 유지하며 정보를 저장하는 방법으로, 서버가 사용자별 정보를 기억하기 위해 사용하는 기술이다.

🔁 세션 작동 방식

1. 세션 생성

사용자: 저 로그인할게요! (아이디, 비밀번호 전송)

서버는 정보를 확인한 뒤:

서버: 로그인 성공! 이 사용자를 기억해야지.
(서버 안에 사용자 정보를 저장하고, 세션 ID를 만든다)

Set-Cookie: sessionId=abc123; HttpOnly

브라우저는 sessionId를 쿠키로 저장한다.

2. 다음 요청에 자동으로 세션 ID 포함 (브라우저 → 서버)

사용자가 다시 페이지를 이동하거나 새로고침할 때:

Cookie: sessionId=abc123

이렇게 브라우저가 세션 ID를 자동으로 서버에 보낸다.

3. 서버는 세션 ID로 사용자 식별

서버는 세션 ID abc123을 확인하고,

서버: 아, 이건 아까 로그인했던 사용자구나!

저장해뒀던 정보를 꺼내와서 로그인 상태를 유지해준다.

4. 세션 종료

사용자가 로그아웃하거나, 일정 시간이 지나면

서버: 이제 이 세션은 만료야! 사용자 정보 삭제!

세션이 사라지고, 자동 로그아웃처럼 처리된다.

🧾 토큰이란?

토큰은 사용자의 인증 정보를 담은 문자열 데이터로, 서버와 클라이언트가 인증 상태를 유지하는 데 사용된다. 이 중에서 가장 많이 쓰이는 방식이 바로 JWT (JSON Web Token) 이다.

✅ JWT란?

JWT는 사용자의 로그인 정보를 인코딩한 토큰으로, 서버가 로그인 정보를 별도로 저장하지 않아도, 토큰만 보고 사용자를 인증할 수 있게 해주는 무상태 인증 방식이다.

1. 로그인 요청

사용자가 아이디/비밀번호로 로그인 요청을 보낸다.

POST /login
{
  "username": "user1",
  "password": "1234"
}

2. 서버가 JWT 발급

서버는 사용자를 인증하고, 사용자 정보를 담은 JWT를 발급한다.

{
  "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6..."
}

3. 프론트엔드가 JWT 저장

클라이언트는 이 JWT를 로컬스토리지 또는 세션스토리지에 저장한다.

localStorage.setItem("token", receivedToken);

4. 인증 요청 시 JWT 전송

프론트엔드는 서버에 요청할 때마다 JWT를 헤더에 포함해서 보낸다.

GET /user/info
Authorization: Bearer eyJhbGciOiJIUzI1NiIs...

5. 서버는 JWT 확인 후 응답

서버는 토큰이 유효한지 확인하고, 사용자 정보를 추출해서 요청을 처리한다.

6. 토큰 만료 또는 위조 시

만료된 토큰이면 401 Unauthorized 응답하고,
위조된 토큰이면 서명 불일치로 요청 거부한다.

최종 정리

구분	쿠키 (Cookie)	세션 (Session)	토큰 (Token, 특히 JWT)
저장 위치	클라이언트(브라우저)	서버	클라이언트 (주로 로컬스토리지, 세션스토리지)
보안성	낮음 (조작 가능)	높음 (서버 저장)	비교적 높음 (서명 기반)
유지 방식	자동 요청 시 포함됨 (header에 자동 포함)	서버에서 식별 정보 저장 후 쿠키로 ID 전달	클라이언트가 매 요청마다 토큰을 수동으로 전달
사용 방식	상태 기반 (세션 ID를 담음)	상태 기반 (세션 ID로 서버에서 상태 유지)	무상태(Stateless) 방식 (서버는 토큰만 확인)
특징	크기 제한 (4KB), 자동 전송	서버 메모리 사용	자체에 인증 정보 포함, 서버 부하 적음