쿠키

쿠키의 파라미터에 대한 설명

Path : 서버에 있는 특정 경로만 쿠키를 할당. 경로가 명시되어있지 않으면, Set-Cookie 응답을 전달하는 URL의 경로가 사용됨
Secure : 이 속성이 포함되면, 쿠키는 HTTP가 SSL 보안 연결 사용할 때만 쿠키를 전달
HttpOnly : document.cookie등을 이용해 JS에서 해당 쿠키를 사용할수없게 만듬 xss등 방어를 위해 사용

세션(서버세션)

세션과 쿠키의 차이

⓪ 유저가 로그인 정보를 입력하고 올바르다면 서버에서 세션쿠키의 정보(JSESSIONID를 가진 쿠키)를 클라이언트에 전달 ( response의 헤더에 담아서 보냄 )

① 유저가 해당 세션쿠기의 정보를 클라이언트에 저장

* 세션쿠키와 지속쿠키는 다르다. 세션쿠키는 expires가 Session으로된 쿠키이며 만료기간이 없고 브라우저를 닫는 순간 사라진다

② 사용자가 요청을 서버에 전송한다. 전송하는 Request헤더에 세션쿠키(JSESSIONID를 가진 쿠키)를 담아서 서버에 보낸다

③ 서버는 클라이언트로 받은 세션쿠키의 JSESSIONID의 값과 일치하는 값을 서버에서 찾는다

( 세션쿠키의 JSESSIONID의 값과 일치하는 값을 서버에 저장하는것을 세션이라고 한다. 세션은 데이터 저장방식을 말함 )

④ 일치하는 정보가 있을 경우 사용자가 요청한 정보를 반환한다

⑤ 사용자가 로그아웃하면 서버의 저장된 세션쿠키에 대한 정보를 삭제한다.

또한 유저가 브라우저를 닫을 경우 브라우저의 세션쿠키가 없어지기 때문에 해당 경우에도 클라이언트에서 삭제된다

매번 request마다 아래 구조의 토큰을 서버로 보냄(실제로 헤더에 저장함)

{
   url:”/post/getdata”
   method:”post”
   data:”{요청데이터}”
   token:”111.222.333”
}

-헤더:토큰정보헤더(111)

-페이로드:토큰인증정보(222)

-암호화된서명:서버에서 클라이언트에 보내기전 헤더+페이로드+개인키를 합쳐서 암호화한 값(333)

1.위의 형식으로 토큰을 서버에 넘기면 서버는 넘겨받은 토큰의 암호화된 서명을 서버가 가지고 있는 개인키를 사용하여 암호화된 서명(333)부분을 복호화함.

2.암호화된 서명(333)을 복호화한 값의 헤더+페이로드와 클라이언트에서 전송한 헤더+페이로드의 값이 일치하는지 확인한다

3.일치하면 통과

참조