쿠키, 세션, 웹스토리지의 차이점

(펌)개념 정리

ble194 2022. 11. 1. 17:38

HTTP 프로토콜의 한계를 보안하기 위해 쿠키, 세션을 사용한다.

HTTP 프로토콜 환경은 비연결지향(connectionless) , 무상태(stateless)한 특성을 가져서 요청만으론 서버가 클라이언트를 구별할 수 없다.

쿠키의 목적?

쿠키의 스코프

Permanent Cookie는 Expires(날짜, 시간 ) 혹은 Max-Age(초)를 명시해 해당 날짜, 시간까지 쿠키 유지할 수 있고 암것도 설정하기 않으면 Session Cookie가 된다.

세션 보충 설명

클라이언트가 Request보내면 Response에 Set-Cookie를 통해 클라의 유일한 ID값을 생성해 부여하고, 이를 통해 사용자 정보는 안전한 서버에 존재하며 클라이언트와 서버 간에는 ID값만을 전달해 보안 위협을 감소시켜 준다.
클라이언트에 저장되는 쿠키는 세션 종료 시 함께 소멸되는 "Memory Cookie" 탕비을 가져 브라우저가 종료되면 세션과 관련된 쿠키도 삭제 된다.

데이터 저장위치
- 쿠키 : 클라이언트 세션 : 서버
보안
- 쿠키 : 저장위치 때문에 스니핑 당할 우려 존재 - 세션 : 쿠키 이용해 세션 아이디만 저장하고 서버에서 처리하기 때문에 보안성은 쿠키 < 세션
라이프 사이클
- 쿠키 : 브라우저 종료해도 만료기간 남아있으면 존재, - 세션 : 브라우저 종료 시 만료기간에 상관없이 종료
속도 : 쿠키 > 세션

**클라이언트에 데이터를 저장할 수 있도록 HTML5 부터 추가된 저장소
간단한 Key-value 스토리지 형태
쿠키와 달리 자동 전송의 위험성이 없다.
오리진 (Origin) (도메인, 프로토콜, 포트 ) 단위로 접근이 제한되는 특성 덕분에 CSRF로부터 안전
(사이트간 요청 위조 웹 애플리케이션 취약점 중 하나로 사용자가 자신의 의지와 무관하게 공격자가 의도한 행동을 하여 특정 웹페이지를 보안에 취약하게 한다거나 수정, 삭제 등의 작업을 하게 만드는 공격방법을 의미)
쿠키보다 큰 저장 용량 지원 (모바일 2.5MB, 데스트탑 5~10 MB)
서버가 HTTP 헤더를 통해 스토리지 객체를 조작할 수 없음 ( 웹 스토리지 객체 조작은 자바스크립트 내에서만 수행가능)
오직 **문자형(STRING)데이터 타입만 지원
**로켈 스토리지(Local Storage)와 세션 스토리지 (Session Storage)가 있고, 같은 스토리지 객체를 상속하기 때문에 메서드 가 동일함