🚩 HTTP의 특징
HTTP 프로토콜에는 비연결성과 비상태성이라는 특징이 있다
✅ 비연결성 (Connectionless)
- 클라이언트가 서버에 요청(Request)을 했을 때, 그 요청에 맞는 응답(Response)을 보낸 후 연결을 끊는 처리방식
- HTTP 1.1 버전에서 연결을 유지하고, 재활용 하는 기능이 Default 로 추가되었다
(keep-alive 값으로 변경 가능)
✅ 비상태성 (Stateless)
- 클라이언트의 상태 정보를 가지지 않는 서버 처리 방식
- 클라이언트와 첫번째 통신에서 데이터를 주고 받았다 해도, 두번째 통신에서 이전 데이터를 유지하지 않는다
HTTP 통신은 모든 사용자의 요청마다 연결과 해제의 과정을 거치기 때문에 연결 상태가 유지되지 않고, 연결 해제 후에 상태 정보가 저장되지 않는다
(서버의 자원을 절약하기 위함)
⏹ 쿠키와 세션의 사용 이유
HTTP 프로토콜의 두 특징으로 인해, 사용자를 식별할 수 없어서 같은 사용자가 요청을 여러번 하더라도 매번 새로운 사용자로 인식하는 단점이 발생한다
-
사용자에 대한 정보가 유지되지 않으면, 매번 페이지를 이동할 때마다 로그인을 다시 하거나, 상품을 선택했는데 구매 페이지에서 선택한 상품의 정보가 없거나 하는 등의 일이 발생할 수 있다
-
정보 유지가 필요한 예시 :
ID 저장, 로그인 상태 유지, 일주일간 다시 보지 않기
최근 검색한 상품들을 광고에서 추천, 쇼핑몰 장바구니 기능
-
HTTP의 비연결성과 비상태성을 보완하여 서버가 클라이언트를 식별하고 정보를 유지하기 위해 쿠키와 세션이 사용된다
🚩 쿠키 (Cookie)
⏹ 쿠키란
사용자가 어떠한 웹 사이트를 방문할 경우, 그 사이트가 사용하고 있는 서버에서 사용자의 컴퓨터에 저장하는 작은 기록 정보 파일이다
HTTP에서 클라이언트의 상태 정보를 클라이언트의 PC에 저장하였다가 필요시 정보를 참조하거나 재사용할 수 있다
-
사용자가 요청을 할 때 그 정보를 함께 보내서 서버가 사용자를 식별할 수 있게 해준다
-
쿠키의 구성 요소
key(이름) : 각각의 쿠키를 구별하는 데 사용되는 이름
value(값) : 쿠키의 이름과 관련된 값
유효시간 : 쿠키의 유지시간 (저장 기간)
도메인 : 쿠키를 전송할 도메인
경로 : 쿠키를 전송할 요청 경로
✅ 쿠키의 사용 목적
쿠키는 주로 아래의 세 가지 목적을 위해 사용된다
-
세션 관리(Session Management) :
로그인, 사용자 닉네임, 접속 시간, 장바구니 등의 서버가 알아야할 정보들을 저장한다 -
개인화(Personalization) :
사용자마다 다르게 그 사람에 적절한 페이지를 보여줄 수 있다 -
트래킹(Tracking) :
사용자의 행동과 패턴을 분석, 기록한다
✅ 쿠키 동작 방식
쿠키도 HTTP 통신에서 이루어지는 것이기 때문에 HTTP 의 응답과 요청에 따라 작동한다
-
요청을 받은 서버에서 쿠키를 클라이언트(웹 브라우저)로 보낸다
-
클라이언트는 쿠키를 받으면 도메인 서버 이름으로 정렬된 쿠키 디렉토리에 쿠키(정보)를 저장한다
-
이후 클라이언트가 동일한 서버로 HTTP 요청을 보내면 저장된 쿠키도 같이 전송되며
-
만약 서버에서 쿠키에 업데이트된 내용이 있으면 응답할 때 다시 업데이트된 쿠키를 보내준다
✅ 쿠키의 단점
방문했던 웹 사이트에 대한 정보 및 개인정보가 기록되기 때문에 사생활을 침해할 소지가 있다
-
이를 해소하기 위해서 웹 브라우저 자체에 쿠키 거부 기능이 있으나 쿠키에 대한 거부가 웹 브라우저에 설정되어 있으면, 쿠키 본래의 목적인 웹 브라우저와의 연결을 지속시키는 기능을 수행할 수 없는 경우가 발생한다
-
서버가 가지고 있는 것이 아니라 사용자에게 저장되기 때문에, 임의로 고치거나 지울 수 있고, 가로채기도 쉬워 보안이 취약해 쿠키에는 민감하거나 중요한 정보를 담는 것은 위험하다
- 쿠키 제약 조건
- 클라이언트는 총 300개의 쿠키를 저장할 수 있다
- 하나의 도메인 당 20개의 쿠키를 가질 수 있다
(20개가 넘으면 가장 적게 사용되는 것부터 삭제된다) - 하나의 쿠키는 4KB (4096byte)까지 저장 가능하다
🚩 세션 (Session)
⏹ 세션이란
일정 시간동안 같은 사용자로부터 들어오는 일련의 요구를 하나의 상태로 보고, 그 상태를 일정하게 유지시키는 기술이다
- 여기서 일정 시간은 방문자가 웹 브라우저를 통해 서버에 접속한 시점부터 웹 브라우저를 종료하여 연결을 끝내는 시점을 말한다
사용자 정보 파일을 서버에서 관리한다
-
클라이언트가 Req를 보내면, 서버에서 클라이언트에게 유일한 ID (세션 ID)를 부여한다
세션 : 서버에서 가지고 있는 정보
쿠키 : 세션 ID -
웹 브라우저가 서버에 접속해서 브라우저를 종료할때까지 인증상태를 유지한다
사용자에 대한 정보를 서버에 두기 때문에 보안에 좋고 아이디, 닉네임 등의 정보를 세션에 담아두면 요청이 있을 때 마다 DB에 접근할 필요가 없어서 효율적이다
- 하지만, 사용자가 많아질수록 서버 자원을 많이 차지한다
✅ 세션의 사용 목적
-
사용자에 대한 정보를 서버에 두고 브라우저를 닫거나, 서버에서 세션을 삭제했을 때 삭제되므로 쿠키보다 보안이 좋다
-
저장 데이터에 제한이 없다
-
세션ID로 클라이언트를 구분하여 각 클라이언트 요구에 맞는 서비스를 제공한다
✅ 세션 동작 방식
-
요청을 받은 서버에서 접근한 클라이언트의 Request-Header 필드인 Cookie를 확인하여 클라이언트가 세션ID를 보냈는지 확인한다
- 세션ID가 존재하지 않는다면, 서버는 세션ID를 생성해 클라이언트에게 보낸다
-
서버에서는 클라이언트로 돌려준 세션ID를 쿠키를 사용해 서버에 저장한다
-
클라이언트는 다시 페이지에 접속할 때, 쿠키에 저장된 세션 ID를 서버에 전달한다
⭐ 최종 정리
| 쿠키(Cookie) | 세션(Session) | |
|---|---|---|
| 저장 위치 | 클라이언트 (=클라이언트의 PC) | 웹 서버 |
| 저장형식 | text (string) | Object |
| 사용하는 자원(리소스) | 클라이언트의 리소스 | 서버의 리소스 |
| 만료 시점 | 쿠키 저장시 설정 (브라우저가 종료되도, 만료시점이 지나지 않으면 자동 삭제되지 않는다) (미지정 시 웹브라우저 종료와 함께 삭제) | 브라우저 종료시 삭제 (기간 지정 가능) |
| 용량 제한 | 총 300개 하나의 도메인 당 20개 하나의 쿠키 당 4KB(=4096byte) | 서버가 허용하는 한 용량제한 없다 |
| 속도 | 세션보다 빠름 | 쿠키보다 느림 |
| 보안성 | 낮다 (하드에서 꺼내 읽을 수 있다) | 높다 (서버가 해킹당하거나 통신 중간에 세션 ID를 탈취당하는 경우 외에) |
- 쿠키 (Cookie)
- 자동 완성이나, 팝업 일주일간 보지 않기 등 사용자의 편의를 위한 정보
- 지워져도 되고, 조작되거나 가로채이더라도 큰 지장이 없는 수준의 정보들을 저장하는데 사용된다
- 세션 (Session)
- 사용자나 다른 누군가에게 노출되면 안되는 중요한 정보
세션이 쿠키에 비해 보안성은 높지만, 세션의 경우 사용자가 많을 경우 소모되는 자원이 상당하게 된다
따라서 키와 세션을 적절히 병행사용하여 서버지원의 낭비를 줄이고 웹사이트의 속도를 높일 수 있다
👏Reference
쿠키Cookie와 세션Session 이란? 차이점.
[WEB] 🌐 세션 / 쿠키 🍪 차이 정리
쿠키(Cookie), 세션(Session) 특징 및 차이
쿠키, 세션, 캐시란?
쉽게 알아보는 서버 인증 1편(세션/쿠키 , JWT)
