[Authorization] 쿠키와 세션

쿠키는 브라우저 로컬에 key-value쌍으로 저장되는 데이터 파일이다. 유효시간 내에서는 브라우저가 종료되어도 계속 유지된다. 
세션은 브라우저가 종료되거나, 서버에서 해당 세션을 삭제할 수 있기 때문에 쿠키보다 보안성이 좋다. 또한 서버에 데이터를 저장하므로 서버 용량이 허용하는 한에서 제한 없이 데이터를 저장할 수 있지만 서버의 부하가 커진다는 단점이 될 수 있다.

connectionless, stateless

• 쿠키와 세션을 사용하는 이유는 HTTP의 connectionless, stateless 특징 때문
• 클라이언트가 요청(request)를 했을 때, 그 요청에 맞는 응답(response)을 보낸 후 연결을 끊고, 서버는 클라이언트에 대한 상태 정보를 유지하지 않기 때문에 알 수 없게 됨

쿠키 Cookie

• 클라이언트 key-value쌍으로 로컬에 저장되는 데이터 파일
• 유효시간내에서는 브라우저가 종료되어도 계속 유지됨
• 서버에서 response header에 set-cookie 속성을 사용하여 클라이언트에 쿠키를 만들고, 사용자가 따로 작업하지 않아도 브라우저가 request header에 담아서 서버에 전송

단계

1. 서버가 클라이언트로부터 요청을 받았을 때, 클라이언트에 관한 정보를 토대로 쿠키를 구성
2. 서버는 클라이언트에 게 보내는 응답의 header에 쿠키를 담아 보냄
3. 클라이언트가 응답을 받으면, 브라우저는 쿠키를 쿠키 디렉터리에 저장

세션

• 기본적으로 쿠키를 이용하여 구현
• 클라이언트를 구분하기 위해 각 클라이언트에게 sessionID를 부여하고 클라이언트는 쿠키에 session ID를 저장
• 사용자 정보를 서버측에 저장하여 관리
• 사용자 정보를 서버에 두기 때문에 쿠키보다 보안은 좋지만, 서버 자원을 차지하기 때문에 서버에 과부하를 줄 수 있고 성능 저하의 요인이 될 수 있음

사용 예시

• 쇼핑몰의 장바구니 기능
• 로그인 시, 아이디와 비밀번호 저장 (자동 로그인)
• 팝업에서 "오늘 이창을 더이상 보지 않음" 체크

---

인증(Authentication)과 인가(Authorization)

💡 인증: 사용자가 누구인지 확인하는 절차 -> 회원가입, 로그인

💡 인가: 사용자가 요청하는 것에 대한 권한이 있는지를 확인하는 절차 

 

단계

1. 클라이언트가 로그인을 하면 서버는 회원정보를 대조하여 인증 함 (authentication)
2. 회원 정보(클라이언트 정보)를 세션 저장소에 생성하고 session ID를 발급
3. http response header 쿠키에 발급한 session ID를 담아서 보냄
4. 클라이언트에서는 session ID를 쿠키 저장소에 저장하고, 이후에 http request를 보낼 때 마다 쿠키에 session ID를 담아서 보냄
5. 서버에서는 쿠키에 담겨져서 온 session ID에 해당하는 회원 정보를 세션 저장소에서 가져옴 (authorization)
6. 응답 메세지에 회원 정보를 바탕으로 처리된 데이터를 담아서 클라이언트에 보냄