Web. cookie and session

🍪Cookie

왜 쿠키를 사용하는가?

바로! HTTP가 가진 ‘Stateless’ 특징 때문입니다.
Stateless는 Connectionless로 인해 서버가 클라이언트를 식별할 수 없다는 것입니다.
Connectionless는 클라이언트와 서버가 한 번 연결을 맺은 후, 클라이언트의 요청에 대해 서버가 응답을 마치면 연결을 끊어버리는 성질입니다. 예를 들면 다음과 같습니다.

쇼핑몰에 접속
로그인
상품 클릭
로그인
주문
로그인
...

상품을 하나 주문하기 위해서 로그인을 몇 번씩이나 반복해야 합니다.
이처럼 답답해 보이는 방법을 사용하는 이유가 무엇일까요?
서버가 불특정 다수의 클라이언트와 연결하게 되는데, 연결을 유지한다면 많은 리소스가 필요합니다.
따라서 연결을 유지하는 리소스를 줄인다면 더 많은 연결을 할 수 있기 때문에 이용합니다.
기억 못하는 HTTP를 대신해서 상태를 기억해주는 Cookie를 사용합니다.

쿠키는 무엇인가?

쿠키는 브라우저에서 관리되는 작은 기록 정보 파일을 의미합니다.

쿠키의 구성요소

이름	내용
이름(key)	각각의 쿠키를 구별하는 데 사용하는 이름
값(value)	쿠키가 가지고 있는 값
유효시간	쿠키의 유지 시간
도메인	쿠키를 전송할 도메인
경로	쿠키를 전송할 요청 경로

쿠키의 동작 과정

1. 클라이언트의 페이지 요청(request)
2. 쿠키를 포함한 서버의 응답(response)
3. 쿠키 저장 후 쿠키를 포함한 클라이언트의 요청(request)
4. 변경된 쿠키를 포함한 서버의 응답(response)

쿠키의 목적

• 세션 관리: 서버가 알아야 할 정보 저장
• 개인화: 사용자에 따라 적절한 페이지 제공
• 트래킹: 사용자의 행동, 패턴 분석 및 기록

쿠키의 단점

서버가 아닌 브라우저가 가지고 있기 때문에 임의로 수정 및 삭제가 쉽습니다.
또한 가로채기 쉽기 때문에 보안에 문제가 생길 수 있습니다.

Session

세션을 왜 사용하는가?

쿠키의 단점인 보안 문제를 보완하고자 사용합니다.

세션은 무엇인가?

쿠키를 기반으로 하지만 사용자 정보 파일을 서버가 관리한다는 차이가 있습니다.
서버에서 관리하기 때문에 보안에 좋습니다. 단 사용자가 늘어나면 서버 자원을 많이 차지해 성능 저하가 발생할 수 있습니다.
클라이언트가 요청을 보내면, 서버에서 클라이언트를 구분하기 위해 유일한 ID인 세션ID를 부여합니다.

세션 동작 과정

1. 클라이언트의 페이지 요청(request)
2. 세션ID 확인/생성 및 쿠키를 포함한 서버의 응답(response)
3. 클라이언트가 세션ID를 포함한 쿠키를 가지고 요청(request)
4. 세션ID 확인/생성 및 변경된 쿠키를 포함한 서버의 응답(response)

최종 정리

쿠키는 지워져도 되고, 조작되거나 가로채여도 큰 문제가 없는 수준의 정보를 저장하는 데 사용됩니다.
노출되면 안 되는 중요한 정보들은 세션으로 서버에서 다뤄집니다.
따라서 웹을 설계할 때 정보를 쿠키에 저장할지 세션에 저장할지 적절한 판단이 필요합니다.

참고 사이트

https://inpa.tistory.com/entry/WEB-%F0%9F%8C%90-%EC%BF%A0%ED%82%A4-%EC%84%B8%EC%85%98-%EC%A0%95%EB%A6%AC
https://victorydntmd.tistory.com/34
https://www.youtube.com/watch?v=1emZgLiGE4s
https://www.youtube.com/watch?v=OpoVuwxGRDI