쿠키(Cookie)와 세션(Session)의 차이

쿠키와 세션

쿠키와 세션을 사용하는 이유: HTTP 프로토콜의 약점을 보완하기 위해

HTTP 프로토콜의 특징: 비연결지향 (Connectionless) & 상태정보 유지안함(Stateless)
HTTP는 먼저 클라이언트가 request를 서버에 보내면, 서버는 클라이언트에게 요청에 맞는 response를 보내고 접속을 끊는 특성이 있다. 연결을 끊는 순간 클라이언트와 서버의 통신이 끝나며, 상태 정보는 유지하지 않는다.

장점: 통신 연결을 유지하기 않기 때문에, 리소스 낭비가 줄어든다
단점: 통신할 때마다 새로운 커넥션을 열기 때문에, 클라이언트는 내가 누구인지 계속 인증을 해야만 한다.

HTTP1.1 버전에서 커넥션을 계속 열어두고(연결을 유지하고) request에 재활용하는 기능이 추가되었다.
헤더에 keep-alive라는 값을 줘서 커넥션을 재활용하는데 HTTP1.1에서는 이것이 디폴트다.
HTTP가 tcp위에서 구현되었기 때문에 (tcp는 연결지향,udp는 비연결지향) 연결지향이라고 할 수도 있다는 이야기도 있으나, 아직까지는 네트워크 관점에서 keep-alive는 옵션으로 두고 connectionless의 연결비용을 줄이는 것이 명확한 장점이기 때문에 비연결지향으로 알아둔다.

만약, 쿠키와 세션이 없다면 어떤 페이지에서 옮겨 다닐 때마다 로그인을 다시 해야한다. 이런 단점을 보완하기 위해 쿠키와 세션을 사용한다.

쿠키 (Cookie)

• 클라이언트 로컬에 저장되는 키와 값이 들어있는 작은 데이터 파일.
• 이름, 값, 만료날짜(쿠키 저장기간), 경로 정보가 들어있다.
• 쿠키는 일정 시간동안 데이터를 저장할 수 있다.
• 쿠키는 클라이언트의 상태 정보를 로컬에 저장했다가 참조한다.
• 클라이언트에 300개까지 쿠키 저장 가능. 하나의 도메인 당 20개의 값만 가질 수 있다. 하나의 쿠키값은 4KB까지 저장 가능

프로세스

1. 브라우저에서 웹 페이지 접속
2. 클라이언트가 요청한 웹페이지를 받으면서 쿠키를 클라이언트 로컬(하드)에 저장
3. 클라이언트가 재요청 시, 웹페이지 요청과 함께 쿠키값도 전송
4. 지속적으로 로그인 정보를 가지고 있는 것처럼 사용

용도

자동 로그인, "오늘은 더이상 이 창을 보지 않음", 장바구니

세션 (Session)

일정 시간동안 같은 브라우저로부터 들어오는 일련의 요구를 하나의 상태로 보고, 그 상태를 유지하는 기술. 즉, 웹 브라우저를 통해 웹 서버로 접속한 이후 브라우저를 종료할 때까지 유지되는 상태.
클라이언트가 request 를 보내면, 해당 서버의 엔진이 클라이언트에게 유일한 ID(SessionID)를 부여한다.

프로세스

1. 클라이언트가 서버에 접속 시 세션ID를 발급
2. 서버에서는 클라이언트로 발급해준 세션 ID를 쿠키를 통해 저장 (JSESSIONID)
3. 클라이언트는 다시 접속할 때, 이 쿠키(JSESSIONID)를 이용하여 세션ID값을 서버에 전달. 즉, 세션을 구별하기 위해 ID가 필요하고, 그 ID만 쿠키를 이용해 저장해놓는다. 쿠키는 자동으로 서버에 전송되니까 서버에서 세션 아이디에 따른 처리를 할 수 있음.

용도

로그인 유지

	쿠키	세션
저장 위치	클라이언트에 파일로 저장	서버에 저장
보안	약함 (클라이언트 로컬에 저장되기 때문에, 스나이핑 위험 있음)	강함 (쿠키에 세션아이디만 저장하고, 서버에서 이를 처리하기 때문)
라이프사이클	파일로 저장되기 때문에 브라우저를 종료해도 쿠키 만료/삭제 전까지 정보가 남아있다	브라우저가 종료되면 세션 만료시간에 관계없이 삭제된다.
속도	빠름 (쿠키에 정보가 있기 때문에 서버에 요청 시간이 줄음)	느림 (정보가 서버가 있기 때문에 처리가 요구됨)

cf) 캐시: 캐시는 이미지나 css, js 파일 등이 사용자의 브라우저에 저장되는 것이다. 한 번 캐시에 저장되면 브라우저를 참고하기 때문에, 서버에서 변경이 되어도 사용자는 변경되지 않게 보일 수 있다. 캐시 삭제하거나 서버에서 클라이언트로 응답을 보낼 때 header에 캐시 만료시간을 명시하는 방법 등을 이용할 수 있다.

References:

https://jeong-pro.tistory.com/80