피드로 돌아가기
Dev.toSecurity
원문 읽기
Stateless HTTP 환경의 사용자 상태 유지 전략 분석
Session VS Cookie Vs JWT
AI 요약
Context
HTTP 프로토콜의 Stateless 특성으로 인한 요청 간 상태 유지 불가 문제 발생. 매 요청마다 인증을 요구하는 비효율을 해결하기 위한 사용자 식별 메커니즘 필요.
Technical Solution
- Cookie를 단순 데이터 저장소로 활용하여 서버 전달 값을 브라우저에 유지하는 구조 설계
- Session 기반 인증을 통한 서버 측 상태 저장 및 Session ID 기반의 사용자 식별 로직 구현
- DB/Memory에 세션 정보를 저장하여 서버가 직접 제어하는 중앙 집중식 인증 방식 채택
- JWT 도입을 통한 Self-contained 토큰 구조 설계로 서버 저장소 의존성 제거 및 확장성 확보
- Cookie 내에 Session ID 또는 JWT를 저장하여 클라이언트-서버 간 인증 정보 전달 자동화
실천 포인트
1. 단순 저장소인 Cookie와 인증 전략인 Session/JWT를 명확히 구분하여 설계했는지 검토
2. 서버 리소스 부담과 세션 동기화 이슈 발생 시 JWT 기반의 Stateless 인증 전환 고려
3. JWT 사용 시 토큰 내 포함될 Claim 데이터의 최소화 및 보안 키 관리 전략 수립