🔎 쿠키와 세션을 왜 사용할까?

Http 프로토콜의 특징이자 약점을 보완하기 위해서 사용된다.

⒈ Connectionless 프로토콜 (비연결 지향성)

클라이언트가 서버에 요청을 보냈을 때, 그 요청에 맞는 응답을 보낸 후

연결을 끊는 처리 방식이다.

⒉ Stateless 프로토콜 (상태정보 유지 안함)

클라이언트의 상태 정보를 가지지 않는 서버 처리 방식이다.

클라이언트와 첫 번째 통신에서 데이터를 주고 받았다 해도, 두 번째 통신에서

이전 데이터를 유지하지 않는다.

하지만 실무에서는 데이터 유지가 필요한 경우가 많다. 왜냐면 정보가 유지되지 않으면,

매번 페이지를 이동할 때 마다 로그인을 다시 하는 일이 발생하기 때문이다.

따라서, Stateless 경우를 대처하기 위해서 쿠키와 세션을 사용한다.

결과적으로 현재 요청을 보내는 사용자가 누군지 브라우저에서 기억하기 위해 쿠키와 세션을

사용하는데, 최근에 토큰을 통한 로그인을 구현할 때도 session에 토큰을 담는 방식을

사용했다. 그리고 form-data로 로그인을 구현할 때도 session에 사용자의 정보와 일련번호를

담은 쿠키/세션을 사용했었다.

🔎 Cookie(쿠키)

쿠키란?

HTTP 쿠키란 HTTP의 일종으로 인터넷 사용자가 어떠한 웹사이트를 방문할 경우 사용자의

웹 브라우저를 통해 인터넷 사용자의 컴퓨터나 다른 기기에 설치되는 작은 기록 정보 파일을

일컫는다. 웹 쿠키, 브라우저 쿠키라고도 한다. 이 기록 파일에 담긴 정보는 인터넷 사용자가

같은 웹사이트를 방문할 때마다 읽히고 수시로 새로운 정보로 바뀐다.

쿠키는 소프트웨어가 아니다. 쿠키는 컴퓨터 내에서 프로그램처럼 실행될 수 없으며 바이러스를

옮길수도 없다. 하지만 누군가 악의적으로 쿠키를 훔쳐서 해당 사용자의 웹 계정 접근권한을

획득할 수 있다.

쿠키의 특징

쿠키의 동작순서

🔎 Session(세션)

세션이란?

일정 시간동안 같은 사용자로 부터 들어오는 일련의 요구를 하나의 상태로 보고,

그 상태를 일정하게 유지시키는 기술이다. 여기서 일정 시간은 방문자가 웹 브라우저를

통해 웹 서버에 접속한 시점으로부터 웹 브라우저를 종료하여 연결을 끝내는 시점을

말한다. 즉, 방문자가 웹 서버에 접속해 있는 상태를 하나의 단위로 보고 그것을

세션이라고 한다.

OSI 7계층의 세션 계층

세션 계층은 응용 프로그램 계층 간의 통신을 제어하는 구조를 제공하기 위해 응용

프로그램계층 사이의 접속을 설정, 유지, 종료하는 역할을 한다. 또한 사용자와

전송 계층 간의 인터페이스 역할을 하며, LAN사용자가 서버에 접속할 때 이를 관리하는

기능을 수행한다.

세션 특징

세션의 동작순서

🔎 쿠키와 세션의 차이

🔎 실제 사용 예시

private void addUserSeqCookie(HttpServletRequest request, HttpServletResponse response) {

    Long userSeq = ((CustomUserDetails) SecurityContextHolder.getContext().getAuthentication().getPrincipal())
            .getLoginUser()
            .getUserSeq();

    HttpSession session = request.getSession();
    String sessionId = UUID.randomUUID().toString();
    session.setAttribute(sessionId, userSeq);

    Cookie cookie = new Cookie("mySessionId", sessionId);

    //TODO : set Cookie parameter
    cookie.setMaxAge(3600);
    cookie.setPath("/");
    response.addCookie(cookie);
}

새로 진행하는 프로젝트의 개발 환경 셋팅과 로그인을 내가 담당하게 되었다.

로그인은 Spring Security를 사용하였는데 사용자 일련번호(UserSeq)를 따로 세션에

저장해줘햐 하는 요구사항이 있어 세션과 쿠키를 다시 리마인드 하게 되었다.

세션 생성하기

우선 세션을 가저오고, 추가하는건 굉장히 간단한다.

아래와 같이 코드를 작성해주면 되는데, 여기서 한 가지 알고 넘어가야할 부분이 있다.

HttpSession session = request.getSession();
session.setAttribute(String sessionId, String userSeq);

참고 : sessionId는 UUID를 램덤으로 생성해서 넣어주는 것이 보안상 좋다.

getSession() 메서드는 파라미터로 boolean값을 가질수 있다.

true(default)의 경우에는 세션이 이미 있는지 확인한다. 있다면 그 세션을 반환하고

없다면 새로운 세션을 생성한다. false의 경우에는 세션이 있다면 그 세션을 반환하지만,

없다면 null을 반환한다.

쿠키 생성하기

이렇게 세션을 생성하고, 세션 아이디를 쿠키 값에 넣어서 클라이언트 브라우저에

반환해주면 된다.

Cookie cookie = new Cookie("mySessionId", sessionId);
response.addCookie(cookie);