Cookie, Session

Http는 비연결성입니다.

연결을 유지하면 리소스가 많이 발생하므로 연결유지를 위한 리소스를 줄여 더 많은 연결을 위해 비연결적 특징을 갖습니다.

http1.1부터 keep-alive헤더로 연결유지가 가능합니다

서버가 클라이언트를 식별할 수 없는 Stateless (무상태) 합니다.

사용자를 식별을 목적으로 HTTP의 Connectionless, Stateless한 특성을 보완하기 위해 등장한 것이 세션, 쿠키입니다.

HTTP의 set-cookie헤더에 브라우저단에서 쿠키를 저장해 서버가 클라이언트를 식별할 수 있게합니다.

쿠키는 브라우저단에서 저장하므로 공격당하여 위변조에 취약합니다.

만료시간을 정할 수 있으며 로컬에 저장되므로 브라우저를 꺼도 유지가 됩니다.

세션은 서버단에서 사용자정보를 저장합니다. 하지만 세션도 중간에 탈취 당할 수 있기에 보안에 완벽하지 않습니다.

사용자 정보를 서버에 저장하므로 동접자가 많은 서비스의 경우 서버과부하 발생가능합니다.

만료시간을 정해도 브라우저가 꺼지면 삭제됩니다.

역할과 동작원리가 비슷하다. 세션도 쿠키를 사용하기 때문이다.

가장 큰 차이점은 사용자 정보가 저장되는 위치

속도는 쿠키가 빠름

보안은 세션이 우수함

이 둘의 문제점을 보완하기 위해 최근에는 토큰기반 인증 방식을 사용함

JWT, OAuth가 있음
보호할 데이터 (사용자정보)를 토큰으로 치환하여 원본 데이터 대신 토큰을 사용함
OAuth : 다른 웹서비스 계정으로 사용자 인증을 대신함
JWT : Json으로 된 Token
- JSON객체에 요구사항 작성 : (user의 id등 사용자정보)
- 어떤 암호화방식을 사용해 해당 내용을 문자열로 인코딩
- HTTP header에 추가 ( cookie )
- 서버에서 Header에 추가된 Token을 디코딩하여 사용자 인증

Q5) Cookie, Session (Interview Question in HTTP) #16