[HTTP] 쿠키와 세션

쿠키와 세션이 필요한 이유

사전 지식: HTTP 프로토콜에 대한 이해 

HTTP 프로토콜은 Connectionless 하고 Stateless 한 프로토콜이다.

- Connectionless : 클라이언트가 서버에 요청을 하고 서버가 클라이언트에게 응답을 보내면 접속을 끊는다.

- Stateless : 통신이 끝나면 상태 정보를 유지하지 않는다.

Connectionless 하고 Stateless 한 HTTP 프로토콜을 사용하면서 Server가 Client를 식별할 수 있는 방법이
필요했고 쿠키와 세션을 사용하게 되었다.

HTTP는 Stateless하기 때문에 로그인 상태 정보를 유지하지 않아서 쿠키와 세션을 사용하지 않으면 게시판이나
메일을 확인할 때 페이지를 이동할 때 마다 로그인을 해야한다.

쿠키 (Cookie)

쿠키는 클라이언트에 저장되는 키와 값이 들어 있는 작은 데이터 파일이다.
쿠키에는 이름, 값, 만료 날짜, 경로 정보가 들어있다.

쿠키는 일정 시간동안 데이터를 저장할 수 있어서 로그인 상태를 유지하거나 사용자 정보를
일정 시간동안 유지하는 경우에 주로 사용된다.

1. 브라우저에서 웹페이지 접속

2. 클라이언트가 요청한 웹페이지를 받으면서 쿠키를 클라이언트 로컬에 저장

3. 클라이언트가 재 요청시 웹페이지 요청과 함께 쿠키값도 전송

4. 지속적을 로그인 정보를 가지고 있는 것처럼 사용

HTTP 쿠키 (웹 쿠기, 브라우저 쿠키)는 서버가 사용자의 웹 브라우저에 전송하는 작은 데이터 조각이다.

브라우저는 그 데이터 조각들을 저장할 수 있고 동일한 서버로 다음 요청 시 함께 전송할 것이다.

일반적으로 동일한 브라우저에서 두 요청이 들어오는 것을 말한다.

예를 들어 유저 로그인 상태유지, 쿠키는 상태가 없는 (stateless) HTTP 프로토콜에서 상태 기반 정보를 기억한다.

쿠키는 주로 세 가지 목적을 위해 사용된다.

1. 세션 관리(Session Management)

 - Logins, Shopping carts, game scores, or anything else the server should remember

2. 개인화 (Personalizaion)

 - User preferences, themes, and other settings

3. 트래킹 (Tracking)

 - Recording and analyzing user behavior

쿠키의 제한

클라이언트에 300개까지 쿠키저장 가능

하나의 도메인당 20개의 값만 가질 수 있음

하나의 쿠키값은 4KB까지 저장

Response Header에 Set-Cookie 속성을 사용하면 클라이언트에 쿠키를 만들 수 있다.

쿠키는 사용자가 따로 요청하지 않아도 브라우저가 Request시에 Request Header를 넣어서 자동으로 서버에 전송

세션 (Session)

세션은 서버 메모리에 저장되는 정보다. 서버에 저장되기 때문에 쿠키와는 달리 사용자 정보가 노출되지 않는다.

일정 시간동안 같은 브라우저로 부터 들어오는 일련의 요구를 하나의 상태로 보고 그 상태를 유지하는 기술

클라이언트가 Request를 보내면, 해당 서버의 엔진이 클라이언트에게 유일한 ID를 부여하는데 이것이 세션 ID

로그인 처리 과정을 순차적으로 보면,

1. 사용자가 로그인 페이지에 id / pw를 입력하고 로그인 버튼 클릭

2. 서버에서 사용자가 보낸 id /pw 정보를 확인하고 존재하는 사용자면 서버 메모리에 유일한 세션 ID를 생성하고 
   사용자 id와 매핑 정보를 저장

3. 클라이언트에 세션 ID를 쿠키로 저장

4. 요청시 마다 서버는 Request Header의 쿠키정보 (세션 ID)를 확인하고 세션 ID와 매핑되는 ID의 사용자로 인식

즉, 세션을 구별하기 위해 ID가 필요하고 그 ID만 쿠키를 이용해서 저장한다.

(쿠키 사용) 쿠키는 자동으로 서버에 전송되니까 서버에서 세션아이디에 따른 처리를 할 수 있다.

세션은 서버 메모리에 저장되지만 세션 역시 클라이언트에 쿠키로 저장된다는 것이 중요하다.

 

쿠키와 세션의 차이

저장위치

- 쿠키는 클라이언트에 파일로 저장

- 세션은 서버에 저장

보안

- 쿠키는 클라이언트 로컬에 저장되기 때문에 변질되거나 request에서 스나이핑 당할 우려가 있어 보안에 취약함

- 세션은 쿠키를 이용해서 세션ID만 저장하고 그것으로 구분해서 서버에서 처리하기 때문에 비교적 보안성 있다.

라이프 사이클

- 쿠키도 만료시간이 있지만 파일로 저장되기 때문에 브라우저를 종료해도 계속해서 정보가 남아 있을 수 있다.

또한 만료 기간을 넉넉하게 잡아두면 쿠키삭제를 할 때 까지 유지될 수도 있다.

- 세션도 만료시간을 정할 수 있지만 브라우저가 종료되면 만료시간에 상관없이 삭제된다.

속도

- 쿠키에 정보가 있기때문에 서버에 요청시 속도가 빠르다.

- 세션은 정보가 서버에 있기 때문에 처리가 요구되어 비교적 느린 속도를 낸다.