쿠키(Cookie)와 세션(Session)의 차이

쿠키와 세션을 사용하는 이유는?

 

HTTP 프로토콜 의 특징인

1) 비연결지향(Connectionless)

: HTTP는 먼저 클라이언트가 서버에 요청(request)을 보내면, 서버는 클라이언트에게 요청에 맞는 응답(response)를 보내고 접속을 끊는다.

2) 상태정보유지안함(Stateless)

: 연결을 끊는 순간 클라이언트와 서버의 통신이 끝나며 상태 정보는 유지하지 않는 특성이 있다.

 

비연결지향이라는 특성 덕분에 계속해서 통신 연결을 유지하지 않기 때문에 리소스 낭비가 줄어드는 것은 장점이지만 통신할 때마다 새로 커넥션을 열기 때문에 클라이언트는 내가 누구인지 인증을 계속해야하는 단점이 생긴다.

 

https://jeong-pro.tistory.com/80

Web - 쿠키와 세션의 차이, 용도, 사용법(cookie,session)

이러한 HTTP 프로토콜의 단점을 보안하기 위해서 쿠키와 세션을 사용한다. 

 

쿠키(Cookie)

- 클라이언트 로컬(하드)에 저장되는 키와 값이 들어있는 작은 데이터 파일이다. 

- 쿠키에는 이름, 값, 만료날짜(쿠키 저장기간), 경로 정보가 들어있다.

- 쿠키는 일정시간동안 데이터를 저장할 수 있다. (로그인 상태 유지에 활용)

- 쿠키는 클라이언트의 상태 정보를 로컬에 저장했다가 참조한다.

 

- 쿠키 프로세스

1. 브라우저에서 웹페이지 접속

2. 클라이언트가 요청한 웹페이지를 받으면서 쿠키를 클라이언트 로컬(하드)에 저장

3. 클라이언트가 재 요청시 웹페이지 요청과 함께 쿠키값도 전송

4. 지속적으로 로그인 정보를 가지고 있는 것처럼 사용

 

- 클라이언트에 300개까지 쿠키저장 가능, 하나의 도메인당 20개의 값만 가질 수 있음, 하나의 쿠키값은 4KB까지 저장. Response Header에 Set-Cookie 속성을 사용하면 클라이언트에 쿠키를 만들 수 있다.

쿠키는 사용자가 따로 요청하지 않아도 브라우저가 Request시에 Request Header를 넣어서 자동으로 서버에 전송한다.

 

- 예)

자동로그인, 팝업에서 "오늘 더 이상 이 창을 보지 않음" 체크

쇼핑몰의 장바구니

 

세션(Session)

- 일정 시간 동안 같은 브라우저로부터 들어오는 일련의 요구를 하나의 상태로 보고 그 상태를 유지하는 기술

- 웹 브라우저를 통해 웹 서버에 접속한 이후로 브라우저를 종료할 때까지 유지되는 상태

- 클라이언트가 Request를 보내면, 해당 서버의 엔진이 클라이언트에게 유일한 ID를 부여하는 데 이것이 세션ID이다.

 

- 세션 프로세스

1. 클라이언트가 서버에 접속시 세션 ID를 발급

2. 서버에서는 클라이언트로 발급해준 세션 ID를 쿠키를 사용해 저장 (JSESSIONID)

3. 클라이언트는 다시 접속할 때, 이 쿠키(JSESSIONID)를 이용해서 세션ID값을 서버에 전달

즉, 세션을 구별하기 위해 ID가 필요하고 그 ID만 쿠키를 이용해서 저장해놓는다. (쿠키사용) 쿠키는 자동으로 서버에 전송되니까 서버에서 세션아이디에 따른 처리를 할 수 있음

예를 들면, 게시판에 글을 작성할 때 작성 버튼을 누르면 세션에 있는 아이디를 참조해서 작성자를 지정하게 한다.

 

- 예)

로그인 정보 유지

 

 

정리

쿠키와 세션의 차이는

1) 저장 위치 -> 쿠키는 클라이언트에 파일로 저장, 세션은 서버에 저장

2) 보안 -> 세션이 보안에 더 좋다.

3) 라이프 사이클 -> 쿠키는 쿠키삭제하기 전까지 유지되지만, 세션은 브라우저가 종료되면 만료시간에 상관없이 삭제

4) 속도 -> 세션이 비교적 느리다.

 

* 세션이 좋은데 왜 쿠키를 사용하냐?

-> 세션은 서버의 자원을 이용하기 때문에 많이 사용하면 서버의 메모리가 감당할 수 없어지고, 속도가 느려질 수 있다.