Session

jung_ho9 개발일지·2023년 1월 7일

세션

HTTP/네트워크/서버

목록 보기

14/15

Session

서버가 Client에 유일하고 암호화된 ID를 부여
중요한 데이터는 서버에서 관리

Session 전달 방법

사용자가 로그인 했을 경우

서버 : 사용자가 인증에 성공했음을 알고 있어야 한다.
클라이언트 : 인증 성공을 증명할 수단을 가지고 있어야 한다.

사용자가 인증에 성공한 상태는 세션이라고 부른다.
서버는 일종 저장소에 이 세션을 저장하거나 세션 스토어(DB)에 저장한다.
세션이 만들어지면, 각 세션을 구분할 수 있는 세션아이디도 만들어지는데 보통 클라이언트에 세션 성공을 증명할 수단으로 이 세션 아이디를 전달한다.
이때 웹사이트에서 로그인을 유지하기 위한 수단으로 쿠키를 사용한다. (쿠키에 서버에서 발급한 세션 아이디를 저장)
클라이언트 요청과 함께 세션 아이디가 서버에 전달되고, 세션 스토어에 해당 세션이 존재한다면 서버는 해당 요청에 접근이 가능하다고 판단한다.
하지만 쿠키에 세션아이디 정보가 없는 경우, 서버는 해당 요청이 인증되지 않았음을 알려준다.

사용자가 로그아웃 했을 경우

세션 아이디가 담긴 쿠키는 클라이언트에저장되어 있고 서버는 세션을 저장하고 있기 때문에 로그아웃은 다음 두 가지의 작업을 수행해야 한다.

서버 : 세션 정보를 삭제해야 한다.
클라이언트 : 쿠키를 갱신해야 한다.

서버는 클라이언트의 쿠기를 임의로 삭제할 수 없기 때문에 set-cookie로 클라이언트에게 쿠키를 전송할 때 세션 아이디의 키값을 무효한 값으로 갱신해야 한다.

주의: 쿠키는 세션 아이디, 즉 인증 성공에 대한 증명을 갖고 있으므로, 탈취될 경우 서버는 해당 요청이 인증된 사용자의 요청이라고 판단하므로 공공장소에서 PC를 사용했을 시 로그아웃을 반드시 해야한다.

Session 의 단점

서버에 메모리에 세션정보를 저장
서버의 이용자가 많으면 메모리의 일정부분을 항상 차지해야하므로 가용메모리 양이 줄어들어서 서버의 성능이 안좋아지게 됨
쿠키를 여전히 이용하기 때문에 XSS 공격으로 인해 쿠키가 탈취될 수 있음

express-session

Node.js에는 이런 세션을 대신 관리해 주는 express-session 이라는 모듈이 존재한다. express-session은 세션을 위한 미들웨어로, express 서버에서 쉽게 세션을 위한 공간을 다룰 수 있도록 만들어 준다.

const express = require('express');
const session = require('express-session');

const app = express();

app.use(
  session({
    secret: '@jungho',
    resave: false,
    saveUninitialized: true,
    cookie: {
      domain: 'localhost',
      path: '/',
      maxAge: 24 * 6 * 60 * 10000,
      sameSite: 'none',
      httpOnly: false,
      secure: true,
    },
  })
);