Q5) Cookie, Session (Interview Question in HTTP)

[SeongsangCHO]

Q1. Http는 비연결성인가요 연결성인가요?

Q2. 쿠키와 세션에 대해서 설명해주시고 이 둘의 차이점을 설명해주세요.

[terry-yes]

Q1 비연결성입니다.
서로 요청과 응답을 주고 받을때만 연결되고 그 이외에는 통신을 주고 받지 않습니다.
서버가 여러명의 클라이언트와의 통신에서 리소스를 효율적으로 배분하기 위함입니다.

Q2 둘다 로그인을 유지하기 위한 기능입니다.
로그인 후에 다른 페이지로 이동해도 로그인이 끊기지 않고 유지되도록 Set-Cookie헤더와 아이디와 비밀번호를 직접 적어놓고 HTTP 요청마다 서버가 헤더를 확인해서 로그인을 유지시켜줍니다.
다만 이렇게 되면 아이디와 비번이 노출되므로 보안의 치명적입니다.
이를 해결하기 위해 세션을 사용합니다.
쿠키와 아주 비슷하지만 Set-Cookie헤더에 저장되는게 아이디,비번이 아닌 특정 세션 키값으로 사용자의 신원을 확인합니다.
로그인시 서버는 세션 키값을 사용자에게 발급해주고 사용자는 그 해당키값을 서버에게 보내서 같은 사용자임을 밝힙니다.

[365kim]

즉석
Q1. 연결성이라는 단어의 의미를 잘 모르겠습니다
Q2. 쿠키의 단점을 보완한 것이 세션입니다

보충
Q1.
비연결성입니다.

HTTP의 특징 중 하나인, 비연결성(Connectionless) 은 클라이언트가 보낸 요청에 대해 서버가 응답을 한 후 바로 연결이 끊어지는 특징을 의미합니다.

이러한 비연결적인 특성을 바탕으로 HTTP 무상태성(Stateless) 특징을 띄기도 합니다. 연결이 해제됨과 동시에 서버와 클라이언트는 이전에 요청한 결과에 대해서 잊어버려 '상태'를 유지하지 않는다는 의미입니다.

따라서, 만일 클라이언트가 이전 요청과 같은 데이터를 원한다면, 다시 서버와 연결해서 동일한 요청을 시도해야 합니다.

장점은 서버의 부담을 줄일 수 있다는 점이고,
단점은, 사용자의 상태를 유지시켜줄 수 없다는 점입니다.

따라서 개인화된 사용자경험을 제공하기 위해서는 쿠키와 세션이 필요합니다.

Q2.
쿠키와 세션 모두 인증방식 중 하나입니다.

쿠키와 세션의 가장 큰 차이점은 정보가 저장되는 위치입니다.
쿠키 는 클라이언트 측에서, 세션 은 서버측에 저장되고 관리됩니다.

정보의 특성에 따라, 사용자의 편의를 위하되 지워지거나 가로채거나 했을 때 큰 문제가 생기지 않을만한 정보들은 쿠키에, 사용자나 다른 누군가에게 노출되어서는 안되고 서비스 제공자가 직접 관리해야하는 정보는 세션에 저장하게 됩니다.
모두 세션에 저장하게 된다면 접속자가 많을 때 서버에 부담이 커지므로 개발자의 판단하에 적절하게 분배해서 저장해주어야 합니다.
얄팍한 코딩사전: 쿠키, 세션, 캐시가 뭔가요?

[SeongsangCHO]

Cookie, Session

참고링크

Http는 비연결성입니다.

연결을 유지하면 리소스가 많이 발생하므로 연결유지를 위한 리소스를 줄여 더 많은 연결을 위해 비연결적 특징을 갖습니다.

http1.1부터 keep-alive헤더로 연결유지가 가능합니다

서버가 클라이언트를 식별할 수 없는 Stateless (무상태) 합니다.

사용자를 식별을 목적으로 HTTP의 Connectionless, Stateless한 특성을 보완하기 위해 등장한 것이 세션, 쿠키입니다.

쿠키?

HTTP의 set-cookie헤더에 브라우저단에서 쿠키를 저장해 서버가 클라이언트를 식별할 수 있게합니다.

쿠키는 브라우저단에서 저장하므로 공격당하여 위변조에 취약합니다.

만료시간을 정할 수 있으며 로컬에 저장되므로 브라우저를 꺼도 유지가 됩니다.

세션?

세션은 서버단에서 사용자정보를 저장합니다. 하지만 세션도 중간에 탈취 당할 수 있기에 보안에 완벽하지 않습니다.

사용자 정보를 서버에 저장하므로 동접자가 많은 서비스의 경우 서버과부하 발생가능합니다.

만료시간을 정해도 브라우저가 꺼지면 삭제됩니다.

차이?

역할과 동작원리가 비슷하다. 세션도 쿠키를 사용하기 때문이다.

가장 큰 차이점은 사용자 정보가 저장되는 위치

속도는 쿠키가 빠름

보안은 세션이 우수함

이 둘의 문제점을 보완하기 위해 최근에는 토큰기반 인증 방식을 사용함

토큰기반방식?

• JWT, OAuth가 있음
• 보호할 데이터 (사용자정보)를 토큰으로 치환하여 원본 데이터 대신 토큰을 사용함
• OAuth : 다른 웹서비스 계정으로 사용자 인증을 대신함
• JWT : Json으로 된 Token
  • JSON객체에 요구사항 작성 : (user의 id등 사용자정보)
  • 어떤 암호화방식을 사용해 해당 내용을 문자열로 인코딩
  • HTTP header에 추가 ( cookie )
  • 서버에서 Header에 추가된 Token을 디코딩하여 사용자 인증