Cookie와 Session의 차이를 설명해주세요

[nayonsoso]

저도 궁금하네요

[J-I-H-O]

쿠키와 세션의 차이

세션도 쿠키를 사용하기 때문에 역할과 동작 원리가 비슷하지만, 다음과 같은 차이점이 존재합니다.

• 쿠키는 서버의 자원을 전혀 사용하지 않는 반면, 세션은 서버의 자원을 사용합니다.
  • 쿠키는 상태 정보를 클라이언트의 로컬 PC에 저장
  • 세션은 클라이언트의 쿠키에 session id만을 저장하고 상태 정보는 서버에 저장
• 보안 측면에서는 세션 방식이 유리합니다.
  • 쿠키는 클라이언트에 저장되기 때문에 위변조되거나, 요청 과정에서 스니핑 당할 우려가 있음. 따라서 쿠키값(value)를 암호화 해야하며, 민감하거나 중요한 정보를 담지 않도록 해야 함
  • 세션은 클라이언트에 session id만 저장하고, 노출되면 안되는 정보들을 서버 내부에서 처리하기 때문에 상대적으로 안전
    • 사용자의 개인 PC가 털릴 가능성보다 서버가 털릴 가능성이 낮기 때문이라고 이해함
• 성능 측면에서는 쿠키 방식이 유리합니다.
  • 쿠키는 쿠키에 정보가 있기 때문에 요청시 처리 속도가 빠름
    • 쿠키에 저장된 정보를 파싱해서 사용하면 됨
  • 세션은 정보가 서버에 있기 때문에 처리가 요구되어 비교적 속도가 느림
    • 계속해서 늘어날 경우 서버에 부하가 발생할 수도 있고, 유저가 많아지면 저장 공간에 대한 비용(메모리)이 발생함
• 라이프 사이클
  • 쿠키와 세션 모두 만료 기간을 정할 수 있음
    • 쿠키의 경우 브라우저를 종료해도 만료 기간이 지나지 않으면 자동 삭제 되지 않기 때문에 정보가 유지될 수 있음
    • 세션의 경우 만료 기간이 지나거나, 또는 브라우저가 종료되면 만료 기간에 상관 없이 삭제됨

[le2sky]

HTTP는 상태를 가지지 않고, 연결을 끊어버리는 특징을 가집니다.
따라서, 사용자가 요청할때마다 매번 새로운 사용자로 인식하기 때문에 번거로울 수 있습니다.
웹 개발에서 사용자의 상태를 저장하기 위해서 쿠키와 세션(논리적인 연결) 기술을 이용할 수 있습니다.

쿠키와 세션의 가장 큰 차이는 저장되는 위치입니다.
쿠키는 클라이언트에 저장되며, 사용자가 서버에 요청을 보낼때 함께 전송됩니다.
세션은 서버 측에 사용자 상태를 저장합니다. 이때 세션은 쿠키에 기반할 수 있습니다.
예를 들어, 사용자 정보 자체는 서버 측에서 관리하며 세션 ID를 클라이언트에게 쿠키로 전달할 수 있습니다.

세션은 서버 측에서 사용자의 상태를 관리하기 때문에 서버 측(메모리, DB, 파일)에 부하를 줄 수 있습니다.
그리고 세션 기반의 인증 인가를 구현한다면 서버가 여러대인 환경에서 정합성 문제가 없는지 신경써야합니다.
만약 동기화를 신경쓰지 않는다면 데이터 정합성 문제가 발생할 수 있는데, 이를 세션 불일치 문제라고 합니다.
반면, 쿠키는 탈취와 변조의 위험이 있기 때문에 세션에 비해 상대적으로 보안에 취약할 수 있습니다.