Session이란?

Cookie에 이어 Session에 대해 알아보고자 합니다.

 

세션(Session)은 간단하게 브라우저라고 보면 될 것 같습니다.

정의를 좀 찾아보니,

일정 시간 동안 같은 사용자로부터 들어오는 요구를 하나의 상태로 보고 상태를 유지하는 기술이라고 합니다.

즉, 브라우저를 켰다가 끄는 동안 유효합니다.

 

브라우저에서 특정 도메인에 접속을 하게 되면 서버에서 사용자가 접속한 것을 알 수 있을 겁니다.

그러면 사용자에게 session-id라는 것을 부여하게 됩니다.

이 session-id를 기준으로 사용자를 구분하여 각각 사용자를 관리하게 되는 구조입니다.

 

 

728x90

 

 

동작순서

1. 클라이언트(브라우저)에서 서버에 요청을 보내게 됩니다.
2. 서버에서는 응답에 session-id로 사용할 값을 만듭니다.
3. 만든 값을 cookie에 담아 클라이언트에 보내게 됩니다.
4. cookie를 통해 session-id를 알게 된 클라이언트는 이제 통신할 때마다 cookie에 session-id를 담아서 보내게 됩니다.
5. 클라이언트로부터 받은 cookie session-id는 식별자 역할을 하게 되어 이제 서버 쪽에서  식별하게 됩니다.
6. 이 session-id cookie는 클라이언트 종료 시 삭제되고, 서버에서도 제거가 됩니다.

 

이렇게 세션을 통해 로그인 정보 같은 것을 서버에서 저장하고 있으면,

서버에서는 DB에 접근하는 일이 줄기 때문에 훨씬 효율적일 수 있습니다.

또한 쿠키에 로그인 정보를 담아 보내는 것이 아니라, 쿠키에는 session-id만 있기 때문에 정보 노출이 될 위험도 훨씬 적게 됩니다.

 

 

---

 

 

특징

• 세션은 WAS에서 관리합니다.
• 브라우저가 닫히면 세션이 삭제되기 때문에 쿠키보다 보안에 좋습니다.
• 서버에서 허용하는 한, 저장하는데 데이터의 제한이 없습니다.

 

 

---

 

 

단점

• session-id는 충분히 탈취할 수 있기 때문에, 이를 가지고 서버에 접근할 수 있는 위험은 아직 남아있는 상태입니다. 이를 보완하기 위해서 서버에서는 IP값도 같이 확인한다고 합니다.
• 세션을 서버에 저장하게 되면, 동시접속사가 많아질 때 그만큼 세션이 많아지므로 과부하가 올 수 있습니다.

 

 

---

 

 

보안

• httponly 속성을 true로 설정
• session-cookie에 secure 속성 true로 설정

 

 

---

 

 

이전 게시글에서 다뤘던 Cookie와 Sesstion은 항상 붙어 다니는 기술입니다.
대표적으로 로그인, 인증 관련해서 많이 사용되니, 꼭 숙지하고 있는게 좋을 것 같습니다.
대충 알고는 있었지만, 이번에 정리하면서 다시 개념을 잡은 듯합니다.