쿠키, 세션의 개념과 차이

쿠키

로컬에 저장되는 키와 값을 가지는 작은 데이터 파일.

클라이언트와 서버는 아래와 같은 특징을 가지는 HTTP 프로토콜을 통해 통신하기 때문에 쿠키를 사용한다.

1. 비연결성
   • 서버는 클라이언트의 요청에 대한 응답을 보내고 연결이 끊어진다.
   • HTTP 1.1 은 연결을 유지하는 keep-alive가 기본 옵션이긴 하지만 HTTP 1.0은 기본적으로 비연결성을 지킨다.
2. 무상태성
   • 서버는 클라이언트의 상태를 따로 저장해두지 않는다. 즉, 지난 요청은 물론 지난 요청에 대한 응답도 기억해두지 않는다.
   • 이와 같은 이유로 HTTP는 쿠키를 사용하고, 쿠키에는 다음과 같은 정보가 담겨있다.
     • 이름, 값, 유효시간, 도메인, 경로
   • 만약 쿠키가 없다면 사용자는 인증이 필요한 서비스를 사용할 때마다 로그인을 해야 할 것이다.

 

쿠키의 동작 방식

1. 서버가 클라이언트의 요청을 받으면 클라이언트의 정보를 담은 쿠키를 생성
2. HTTP 헤더에 쿠키를 포함해 응답
3. 클라이언트가 해당 쿠키를 저장
4. 다시 요청을 보낼 때 쿠키를 담아 요청
5. 서버는 쿠키를 통해 클라이언트를 식별

 

세션

세션은 사용자로부터 들어오는 일련의 요구를 하나의 상태를 보고 그 상태를 일정하게 유지시키는 기술이다.

기본적으로 세션은 쿠키를 기반으로 하나 클라이언트에서 저장하는 쿠키와 다르게 세션은 서버에서 저장하고 관리한다.

서버는 세션ID를 사용해 클라이언트를 구분하며, 브라우저가 종료될 때까지 세션을 유지한다.

 

세션의 동작 방식

1. 서버가 클라이언트의 요청을 받으면 클라이언트의 정보를 담은 세션을 생성
2. 세션ID를 담은 쿠키를 생성하고 HTTP 헤더에 쿠키를 포함해 응답
3. 클라이언트는 해당 쿠키를 저장
4. 다시 요청을 보낼 때 쿠키를 담아 요청
5. 서버는 쿠키 안에 세션ID를 통해 클라이언트를 식별

 

쿠키와 세션의 차이

• 쿠키는 클라이언트에, 세션은 서버에 저장
• 세션은 서버에 저장되므로 서버의 자원 사용
• 반대로 쿠키는 서버의 자원을 사용하지 않는 장점이 있음
• 서버 요청이 많아지면 세션에 부하가 심해짐
• 쿠키가 민감한 정보를 담고 있고, 중간에 개인정보를 탈취당할 우려가 있기 때문에 세션이 보안상 안전
  + 세션은 쿠키에 세션ID만 담기 때문에 보안성이 더 좋음
• 쿠키는 파일로 남아있어서 브라우저를 종료해도 정보가 남아있음
• 세션은 브라우저를 종료하면 만료시간에 상관없이 삭제됨

 

정리

서버는 클라이언트의 상태를 저장해놓지 않기 때문에 상태를 저장할 공간이 필요하다. 쿠키는 클라이언트에 저장되는 데이터 파일이고, 세션은 서버 클라이언트 상태를 일정하게 유지하는 기술이다. 쿠키가 요청과 응답을 보낼 때 필요한 정보가 담겨있는 것은 두 방식 모두 같으나 쿠키만 사용하는 방식은 모든 정보를 쿠키에 저장하고, 세션은 쿠키에 세션ID만 저장해서 서버가 ID로 클라이언트를 식별한다는 점이 다르다. 이러한 차이점 때문에 쿠키는 서버의 자원을 사용하지 않는다는 장점과 중간에 개인정보를 탈취당한 우려가 크다는 단점이 있고, 세션은 쿠키에 세션ID만 담고 있기에 보안상 안전하다는 장점과 서버의 자원을 사용하기에 요청이 많아지면 세션에 부하가 심해진다는 단점이 있다.