쿠키? - 컴퓨터공학 채널

컴퓨터공학 채널

알림 알림 중 알림 취소

구독자 3336명 알림수신 25명 @SeworL

컴퓨터를 좋아하는 사람들의 모임

질문/조언 쿠키?

rv1

추천 0 비추천 0 댓글 5 조회수 389 작성일 2021-12-17 10:50:51

https://arca.live/b/programmers/40561593

웹에서 데이터를 긁어와야 하는데 로그인을 처리를 해야해서 네트워크 로그 보면서 구현을 하고 있습니다.

여기서 궁금해진게 Post/Get에서 쿠키를 주고 받는데, 이 쿠키가 하는 역할이 뭔가요? 세션 만료시까지 유효하다고 되어있으면 이게 대체 왜 있는건지, 또 만료된 쿠키를 전송하면 어떻게 되는지 궁금해서 질문해봅니다.

댓글 [5] 글쓰기

ㅇㅇ (119.64)

2021-12-17 13:18:12 삭제 수정 답글

HTTP는 원래 Stateless protocol이기 때문에 모든 요청이 각각 독립적임
말인즉슨 내가 사이트 A의 홈페이지를 달라고 서버에 요청을 할때 생으로 접속을 했든 로그인을 해서 홈페이지로 돌아온 상태든 차이가 없다는뜻임

근데 완전히 stateless가 되면 이렇게 로그인이 구현이 안되지
편의상의 목적으로 서버가 클라이언트의 상태를 확인해야 할 필요가 있었고 그래서 쿠키라는게 생김
서버측에서 Set-Cookie라는 헤더를 붙여서 응답을 보내면 클라이언트는 그걸 확인해서 쿠키를 가지고 있다가
나중에 서버한테 보내는 모든 요청에 기본적으로 Cookie 헤더를 붙여서 내가 이런 놈이고 이런 쿠키를 가지고 있는 놈이라고 알려줌

펼쳐보기▼

ㅇㅇ (119.64)

2021-12-17 13:24:31 삭제 수정 답글

가장 naive한 구현은 쿠키에 그냥 사용자 정보를 그대로 갖다 넣는것인데, 이건 악성 유저가 쿠키를 보고 값을 얼마든지 조작할 수 있음. 이건 뭐 개발자도구를 쓰든 직접 리퀘스트를 때리든 정말 엄청나게 다양한 방법으로 쿠키 조작이 가능하고, 이걸 적어도 브라우저에서 실행되는 악성 스크립트에서만큼은 안되도록 막자고 나온게 HTTP Only 쿠키임.
아무튼 요약하자면 클라이언트에서 전송되어 오는 Cookie 헤더는 신뢰할 수 없는 정보라는 거임. 그래서 보통은 사용자의 정보는 서버가 보관하고 있고, 클라이언트에는 그것에 대한 개략적인 정보만 줘서 서버가 새로운 요청을 받으면 이 요청이 주장하는 커넥션이 실제로 존재하는지 개략적인 정보만을 통해서 확인하고, 존재한다면 그제서야 자기 자신이 가지고 있는 정보를 가지고 판단하는 식으로 사용함.
마치 보안 금고에 중요한 내용을 저장해두고, 그 보안 금고의 열쇠를 클라이언트에게 던져주는거임. 열쇠도 물론 중요한 부분이긴 하지만 열쇠만으로는 사용자의 민감한 정보를 알아보거나 변조할 수 없기 때문에 훨씬 안전함.

펼쳐보기▼

ㅇㅇ (119.64)

2021-12-17 13:32:19 삭제 수정 답글

그럼 이 쿠키라는건 얼마나 오래 보관하고 있게 되느냐. 이건 서버가 클라이언트에게 쿠키를 이만큼 보관하라고 expires 내지는 max-age를 설정해서 보내주고, 클라이언트는 이걸 확인해서 그때까지만 쿠키를 보관함. 만약 설정이 안돼있다면 가상의 개념인 "세션"이 종료되면 사라지게 되는데, 이 세션은 보통은 우리가 경험적으로 느끼고 있을거임.

그러니까, 열려있는 브라우저를 전부 닫는다거나 하면 로그인된 사이트가 풀린다든지 하는건 브라우저가 세션의 종료 시점이라고 판단해서 모든 쿠키를 파기하기 때문에 생기는 현상임. 반대로 브라우저가 예기치 못하게 종료된 상태에서 복구하면 일부 사이트는 로그인이 풀리지 않고 남아있는것을 종종 볼 수 있는데, 이건 브라우저가 미처 세션의 종료를 인지하지 못한 상태에서 뻗어버렸고 아직 가지고 있는 쿠키가 유효한 상태기 때문에 생기는 현상임.

즉 로그인이 풀리는건 서버가 사용자가 진짜로 브라우저를 열고 닫았는지를 알기 때문에 생기는 현상이 아니라, (앞의 비유를 인용하자면) 그저 클라이언트가 서버에게서 전달받은 열쇠를 스스로 파기했기 때문에 서버 입장에서는 이 사람을 완전히 새로운 사람으로 인식할 수 밖에 없어서 로그인이 풀리는것뿐임.

펼쳐보기▼

ㅇㅇ (119.64)

2021-12-17 13:41:06 삭제 수정 답글

아무튼 줄여 말하면 이 세션이라는게 생각보다 추상적인 개념이고, 이것이 실제로 작동하는데에는 클라이언트와 서버 양측의 협조가 필요하다는 거임. 물론 여기서 클라이언트의 협력은 사실상 브라우저가 전부 대신해주기 때문에 프론트엔드 개발자조차도 크게 신경쓸 필요가 없는 부분이긴 하지만, 아무튼 그렇다는거임.

요약하자면
1. 세션이라는것의 시작은 서버에서 끊음. 세션 ID가 없는 요청(금고의 열쇠가 없이 나타난 사람)이 오면, 서버는 새로운 세션을 시작하고 클라이언트에게 세션 ID를 Set-Cookie를 통해 전달함(금고를 한 칸 만들고 열쇠를 발급).
2. 클라이언트는 전달받은 Set-Cookie의 내용과 expires, max-age등을 확인해서 잘 보관하고 있다가 나중에 보내는 모든 요청에 기본적으로 이 쿠키를 그대로 전달함(열쇠를 보내서 내가 그 금고 칸의 정당한 소유자라는것을 입증).

**expires 내지는 max-age가 설정되어 있지 않거나, 이와 무관하게 종료되는경우
3-1. 클라이언트는 대체로 웹브라우저니까, 웹브라우저를 기준으로 설명하면 웹브라우저가 세션의 종료를 자의적으로 판단함. 보통은 모든 탭과 창이 닫히면 발생하는데, 자세한 기준은 경우마다 다름. 왜냐면 일부 브라우저는 현재 상황을 저장해뒀다가 불러오는 기능이 있는데, 이런걸 이용하면 쿠키도 같이 저장돼서 로그인이 안 풀린 상태로 탭들을 저장한다거나 하는게 가능함. 어쨌든 클라이언트 입장에서 임의로 세션의 종료를 선언하고 전달받았던 쿠키를 버려버림(받은 열쇠를 버려버림). 이러면 다음 요청부터는 쿠키가 없이 요청하게 되니, 다시 1번으로 돌아가는 꼴이 됨.
3-2. 물론, 브라우저 입장에서 expires나 max-age에 저장된 시간이 지났다는 사실을 알게 되면 아직 한창 통신중이라도 쿠키를 날려버림(열쇠의 유효기한이 지나면 그걸 방금 전까지 썼든 안썼든 무시하고 즉시 버림).

4. 서버 입장에서는 클라이언트가 세션을 닫았는지 확인할 방법이 없는데, 왜냐면 세션이 닫힌 시점부터 그 클라이언트는 어차피 그 닫힌 세션 ID를 상실했기 때문에 서버에게 내가 세션을 닫았다는 의도의 요청을 할 방법이 없기 때문임(열쇠를 버려버렸기 때문에, 이 열쇠에 해당하는 금고를 파기해달라는 말조차 할 수 없음). 그래서 서버는 보통 일정 시간동안 세션이 사용되지 않으면 그 세션을 그냥 파기해버림(열쇠를 가지고 오는 사람이 한동안 나타나지 않으면 그 금고칸을 그냥 폐기함).

펼쳐보기▼

ㅇㅇ (119.64)

2021-12-17 13:41:38 삭제 수정 답글

일단 세션과 쿠키라는건 대체로 이 흐름대로 간다고 보면됨.

펼쳐보기▼

댓글 작성

업로드 중

0초

녹음 중지 삭제

글쓰기

전체글 개념글

최근 최근 방문 채널

최근 방문 채널

전체 공지사항 질문/조언 읽을거리

번호 제목

작성자 작성일 조회수 추천

광고 광고 당근 빌런

공지 아카라이브 모바일 앱 이용 안내(iOS/Android)

*ㅎㅎ 2020.08.18 52631952

공지 컴퓨터공학 채널 규칙 (2023-10-05 개정)

SeworL 2023.10.05 3730

공지 빠르게 원하는 답변을 받기 위해 피해야 할 질문 방식

유자차 2022.07.02 5001

공지 신문고

SeworL 2023.10.07 2712

숨겨진 공지 펼치기(1개)

물리 엔진 관련해서 책 읽어보려 하는데 추천할 만한거 있음? [1]

Se_worlP 2021.12.20 405 0

질문/조언 내가 지금 문제가 있는대 [7]

삽으로뻘짓하는사람 2021.12.20 239 1

질문/조언 C++ 색상 테마 질문 [5]

LGGP 2021.12.20 214 0

질문/조언 견적좀 물어봐도 될까?? [3]

USSR 2021.12.19 244 0

마이크로소프트 스토어 나만 이럼? [7]

ㅇㅇ (211.176) 2021.12.19 211 0

질문/조언 입문을 어떤 언어로 하는지는 별로 안중요함 [5]

ㅇㅇ (39.122) 2021.12.19 495 3

인공지능에 대해서 생각중인데 [15]

코딩천재 2021.12.19 305 0

질문/조언 컴공과 노트북 추천 [5]

ㅇㅇ (49.167) 2021.12.19 464 0

질문/조언 C++ 하기 전에 C언어 먼저 공부하는 게 낫죠? [5]

Euno 2021.12.18 363 0

질문/조언 자바 공부하려고 하는데 책 한권 추천해주실수 있나요? [6]

메카 2021.12.18 220 0

질문/조언 제작 툴 질문 [2]

Bleuslicker 2021.12.18 189 0

아니 대체 autoload.php 는 어떻게 포함시켜야됨? [4]

ㅇㅇ (211.176) 2021.12.17 135 0

질문/조언 코딩 입문으로 뭐가 좋을까요? [9]

yuiko 2021.12.17 422 0

읽을거리 64k Intro [4]

디비네스페아르 2021.12.17 326 0

질문/조언 Java의 장점이 뭐임? [18]

LGGP 2021.12.17 1281 1

질문/조언 쿠키? [5]

rv1 2021.12.17 390 0

질문/조언 갤럭시 흑백모드 하는 법 좀... [2]

통깡이애처가 2021.12.17 267 0

php 고민이 있음. [8]

ㅇㅇ (211.176) 2021.12.16 240 0

질문/조언 테이블 조인 어떻게 해야할까요? [8]

휘리릭ㄱㄱ 2021.12.16 240 0

자료구조랑 알고리즘 공부하고 싶은데 [3]

ㅇㅇ 2021.12.16 260 0

가상머신 vmware 사용중인데 [1]

ㅇㅇ 2021.12.16 229 0

질문/조언 C++에서 Vector 관련으로 질문 있어요 [11]

LGGP 2021.12.16 258 0

젯브레인 개발자 통계

345607489 2021.12.16 201 1

tcp 통신은 처음배울때 esp8266 같은걸로 배우는게 더 좋은 것 같어. [7]

고기먹자 2021.12.16 197 1

[속보] 결국 log4j 버전 1도 취약점 발견 [15]

Wnswl 2021.12.16 870 6

리눅스 우분투 리눅스 뉴비 내부 오류 첨인데 [6]

붕가 2021.12.16 275 0

질문/조언 이런걸 뭐라고 말하나요? [3]

휘리릭ㄱㄱ 2021.12.16 188 0

js 객체 관련 질문 있습니다. [6]

바지춤 2021.12.15 205 0

"코딩테스트나 정올에서 C++을 사용해야 하는 이유" [26]

LGGP 2021.12.15 635 1

질문/조언 html) 아톰 utf-8 한글 안깨지는 현상 [5]

붕가 2021.12.15 142 0

글쓰기

전체글 개념글