쿠키와 세션의 차이점

 

 

 

 

🍪💎쿠키와 세션을 사용하는 이유

HTTP 프로토콜을 보완하기 위해서 사용!

 

HTTP 프로토콜의 특징

1. 비연결지향(Connectionless)
   • 클라이언트가 요청(Request)을 ➡ 서버에 보내고, 서버는 ➡ 클라이언트에게 적절한 응답(Response)을 주고 연결(Connection)을 끊는다.
   • HTTP가 TCP위에서 구현되었기 때문에(TCP는 연결지향, UDP는 비연결지향) 연결지향적이라고 할 수 있다는 얘기가 있어 논란이 있지만, 아직까지는 네트워크 관점에서 keep-alive는 옵션으로 두고, 서버측에서 비연결지향적인 특성으로 커넥션 관리에 대한 비용을 줄이는 것이 명확한 장점으로 보기 때문에 비연결지향으로 알아두었다.
   • IP 계층에는 출발지 주소와 목적지 주소가 존재하고, TCP 계층에는 출발지 포트, 목적지 포트가 존재한다. IP가 아파트 주소라면 TCP는 번지, 동 개념이라고 생각하면 편함
   • 클라이언트로부터 특정 URL로 요청이 들어오면 DNS 서버가 도메인에 매핑되는 IP 주소를 받아온다. TCP 계층에서 HTTP 메시지를 패킷으로 분해한다. IP 계층에서 전송 위치를 확인하고 네트워크를 통하여 전송한다. 그리고 받는쪽은 위의 과정을 역순으로 진행하여 처리!!

2. 상태없음(Stateless)
   • 커넥션을 끊는 순간 클라이언트와 서버의 통신이 끝나며 상태 정보는 유지하지 않는 특성이 있다.

 

HTTP는 이 두 가지 특성을 보완하기 위해서 쿠키 와 세션 을 사용하게 되었다.

 

 

 

🍪쿠키(Cookie)

HTTP 쿠키(웹 쿠키, 브라우저 쿠키)는 서버가 ➡ 사용자의 웹 브라우저클라이언트 로컬에 전송하는 작은 데이터 조각으로

키와 값(key, value)

이 들어있다!

쿠키에는 이름, 값, 만료 날짜/시간(쿠키 저장기간), 경로 정보등이 들어있다.

쿠키는 서버에서 HTTP Response Header에 Set-Cookie 속성을 이용하여 클라이언트에 쿠키를 제공한다.

브라우저는 그 데이터 조각들을 저장해 놓았다가, 동일한 서버에 재 요청(Request) 시 저장된 데이터를 함께 전송한다.

쿠키는 두 요청이 동일한 브라우저에서 들어왔는지 아닌지를 판단할 때 주로 사용한다.

상태가 없는(stateless) HTTP 프로토콜에서 상태 정보를 기억시켜주기 때문에 ➡ 이를 이용하면 사용자의 로그인 상태를 유지할 수 있습니다.

 

세션쿠키(Session Cookie)와 지속 쿠키(Persistent Cookie)

쿠키는 세션 쿠키(Session Cookie) 와 지속 쿠키(Persistent Cookie) 로 나뉜다.

만료 날짜/시간을 지정하지 않으면, '메모리에 있는 동안' 계속 유효하다고 판단하도록 세션 쿠키에 저장되고,

만료 날짜/시간을 지정하면 프로세스가 종료되더라도(메모리에서 사라지더라도) 특정 만료날짜/시간까지 유효하므로 지속 쿠키에 저장된다.

세션 쿠키는

브라우저 메모리에 저장

되므로 브라우저가 종료되면 쿠키는 사라지게 된다.

지속 쿠키는

파일로 저장

되므로 브라우저가 종료되어도 쿠키는 남아있게 된다.

→ 참고로 세션 쿠키의 값은 보안상 꽤나 안전한 브라우저(ex. 구글 크롬)의 메모리에 저장되기 때문에 보안에 유리하지만,

파일로 저장되는 지속 쿠키의 경우 비교적으로 보안에 취약하다.

 

 

쿠키 프로세스

1. 브라우저에서 웹페이지에 접속한다.

2. 클라이언트가 요청한(request) 웹페이지를 받으면서 ➡ HTTP 헤더를 통해 해당 서버에서 제공하는 쿠키 값을 응답으로 준다. (이러면 클라이언트는 해당 쿠키를 저장한다.)

3. 클라이언트가 재 요청시 웹페이지 요청과 함께 & HTTP헤더에 담아서 쿠키값도 전송

4. 서버는 클라이언트의 요청에서 쿠키 값을 참고하여 비즈니스 로직을 수행한다. (ex 로그인 상태 유지, ...)

 

쿠키 사용 사례

• 자동로그인, 팝업에서 "오늘 더 이상 이 창을 보지 않음" 체크, 쇼핑몰의 비회원 장바구니, ...

 

쿠키의 한계

• 클라이언트에 최대 300개 까지 쿠키를 저장할 수 있다.

• 서버 도메인 하나당 최대 20개의 쿠키를 저장할 수 있다.

• 하나의 쿠키 값은 최대 4KB까지 저장할 수 있다.

 

→ 쿠키는 사용자가 별도로 요청하지 않아도 브라우저(Client)에서 서버에 요청(Request) 시에 Request Header에 쿠키 값을 넣어 요청한다. (=자동이다.)

그렇다고 그 많은 쿠키 값을 굳이 모든 요청에 넣어서 비효율적으로 동작하지는 않는다. 

도메인 설정을 통해서 지정한 도메인으로 요청할 때만 쿠키 값이 제공되도록 할 수도 있다.

 

➕ 지금은modern storage APIs를 사용해 정보를 저장하는 걸 권장한다.

모든 요청마다 쿠키가 함께 전송되기 때문에, (특히 mobile data connections에서) 성능이 떨어지는 원인이 될 수 있다.

정보를 클라이언트 측에 저장하려면 Modern APIs의 종류인 웹 스토리지 API (localStorage와 sessionStorage) 와 IndexedDB를 사용하면 된다.

 

라이프사이클

• 쿠키 유효 시간이 만료되면 종료

• 브라우저 재시작 해도 종료되지 않음

• 유효시간 만료되도 클라이언트에 쌓임 (그래서 주기적으로 삭제 필요!)

 

 

💎세션(Session)

서버(Server)에

클라이언트의 상태 정보를 저장

하는 기술로 논리적인 연결을 세션이라고 한다.

웹 서버에 클라이언트에 대한 정보를 저장하고, 클라이언트에게는 클라이언트를 구분할 수 있는 ID를 부여하는데 이것을

세션아이디

라 한다.

 

세션 프로세스

1. 클라이언트가 서버에 요청했을 때, 필요에 따라 세션에 클라이언트에 대한 데이터를 저장하고 세션 아이디를 응답을 통해 발급해준다. (브라우저 단에서 관리될 수 있도록 쿠키로 발급하는게 일반적인 구조)

2. 클라이언트는 발급받은 세션 아이디를 쿠키로 저장한다. (ex. JSESSIONID)

3. 클라이언트는 다시 서버에 요청할 때, 세션 아이디를 서버에 전달하여 상태 정보를 서버가 활용할 수 있도록 해준다.

 

 

세션 사용 사례

• 로그인 정보 유지

 

라이프사이클

• 세션 유효시간이 만료되면 종료

• 브라우저가 종료되면 삭제됨

 

 

🍪💎쿠키와 세션의 차이

저장 위치

• 쿠키는 클라이언트(브라우저)에 메모리 또는 파일에 저장하고, 세션은 서버 메모리에 저장된다.

보안

• 쿠키는 클라이언트 로컬(local)에 저장되기도 하고 특히 파일로 저장되는 경우 탈취, 변조될 위험이 있고, Request/Response에서 스나이핑 당할 위험이 있어 보안이 비교적 취약하다. 반대로 Session은 클라이언트 정보 자체는 서버에 저장되어 있으므로 비교적 안전하다.

라이프 사이클

• 쿠키는 앞서 설명한 지속 쿠키의 경우에 브라우저를 종료하더라도 저장되어 있을 수 있는 반면에 세션은 서버에서 만료시간/날짜를 정해서 지워버릴 수 있기도 하고 세션 쿠키에 세션 아이디를 정한 경우, 브라우저 종료시 세션아이디가 날아갈 수 있다.

속도

• 쿠키에 정보가 있기 때문에 쿠키에 정보가 있기 때문에 서버에 요청시 헤더를 바로 참조하면 되므로 속도에서 유리하지만, 세션은 제공받은 세션아이디(Key)를 이용해서 서버에서 다시 데이터를 참조해야하므로 속도가 비교적 느릴 수 있다.

허용용량

 

 

세션을 주로 사용하면 좋은데 왜 굳이 쿠키를 사용할까?

→ 세션은서버에 데이터를 저장하기 때문에 서버 자원에 한계가 있고 메모리를 사용하다보면 속도 저하도 올 수 있기 때문이다.