쿠키와 세션
0. HTTP의 단방향성
서버와 클라이언트가 통신을 할 때마다 서버는 클라이언트는 누구인지 인증을 계속 해야 한다.
HTTP 프로토콜은 Connectionless, stateless 한 특성이 있기 때문이다.
Connectionless (비연결 지향)
클라이언트가 요청을 한 후 응답을 받으면 그 연결을 끊어 버리는 특징
(*Http 1.1 버전에서 커넥션을 계속 열어두고(연결을 유지하고) request에 재활용하는 기능이 추가되었다.)
Stateless (상태 정보 유지 안함)
통신이 끝나면 상태를 유지하지 않은 특징
HTTP 프로토콜의 특징이자 약점을 보완하기 위하여 쿠키와 세션을 사용한다. 비연결 지향으로 통신 연결을 유지하지 않기 위해 리소스 낭비가 줄어드는 것은 큰 장점이지만, 통신할 때마다 커넥션을 열기 떄문에 클라이언트는 내가 누구인지 계속 인증해야 하는 단점이 생긴다.
1. 쿠키 (Cookie)
클라이언트 로컬에 저장되는 키와 값이 들어있는 작은 데이터 파일.
쿠키에는 이름, 값, 만료날짜, 경로 정보가 들어있다.
1.1. 쿠키 프로세스
- 브라우저에서 웹 페이지 접속
- 클라이언트가 요청한 웹 페이지를 받으면서 쿠키를 클라이언트 로컬에 저장
- 클라이언트가 재 요청시 웹페이지 요청과 함께 쿠키값도 전송
- 지속적으로 로그인 정보를 가지고 있는 것처럼 사용
1.2 쿠키 사용 사례
- 자동 로그인, 쇼핑몰의 장바구니
1.3 쿠키의 제한
-
클라이언트에 300개 까지 쿠키 저장 가능, 하나의 도메인 당 20개의 값만 가질 수 있다. 하나의 쿠키값은 4Kb 까지 저장.
-
Response Header 에 Set-Cookie 속성을 사용하면 클라이언트에 쿠키를 만들 수 있다.
2. 세션(Session)
일정 시간동안 같은 브라우저로부터 들어오는 일련의 요구를 하나의 상태로 보고 그 상태를 유지하는 기술.
즉, 웹 브라우저를 통해 웹 서버에 접속한 이후 브라우저 종료할 때 까지 유지되는 상태
클라이언트가 Request를 보내면, 해당 서버의 엔진에 클라이언트에게 유일한 ID를 부여하는데, 이것이 세션 ID이다.
2.1 세션 프로세스
- 클라이언트가 서버에 접속시 세션 ID 발급
- 서버에서는 클라이언트로 발급해준 세션 ID를 쿠키를 사용해 저장
- 클라이언트는 다시 접속 할 때, 쿠키를 이용하여 세션 ID값을 서버에 전달.
세션을 구별하기 위해 ID가 필요하고 그 ID만 쿠키를 이용해서 저장한다.
2.2 세션 사용 사례
로그인 정보 유지
3. 쿠키와 세션의 차이.
-
저장 위치
- 쿠키는 클라이언트에 파일로 저장, 세션은 서버에 저장된다.
-
보안
- 쿠키는 클라이언트 로컬에 저장되기 때문에 변질되거나 request에서 스나이핑 당할 우려가 있어 보안에 취약하다.
- 세션은 쿠키를 이용해 sessionid만 저장하고 그것으로 구분해서 서버에서 처리하기 때문에 비교적 보안성이 좋다.
-
라이프 사이클
- 쿠키도 만료시간이 있지만 파일로 저장되기 때문에 브라우저를 종료해도 계속해서 정보가 남아있을 수 있다.
- 반면, 세션도 만료시간을 정할 수 있지만, 브라우저가 종료되면 만료시간에 상관없이 삭제된다.
-
속도
- 쿠키에 정보가 있기 떄문에 서버에 요청시 속도가 빠르고 세션은 정보가 서버에 있기 때문에 처리가 요구되어 비교적 느린 속도를 낸다.
+ 캐시
캐시는 이미지나 css, js파일 등이 사용자의 브라우저에 저장 되는것이다.
이를 이용해 자원이 아껴지는것, 한번 캐시에 저장되면 브라우저를 참고하기 때문에 서버에서 변깅이 되어도 사용자는 변경되지 않을 수 있다.
참고
https://wooeong.tistory.com/entry/%EC%84%B8%EC%85%98%EA%B3%BC-%EC%BF%A0%ED%82%A4