[HTTP] 헤더 - 4 (쿠키)

쿠키의 사용 이유와 사용법에 대해서 알아본다.

하이퍼 텍스트의 기록서(HTTP)의 일종으로서 인터넷 사용자가 어떠한 웹사이트를 방문할 경우 그 사이트가 사용하고 있는 서버를 통해
인터넷 사용자의 컴퓨터에 설치되는 작은 기록 정보 파일을 일컫는다.

HTTP는 무상태 (Stateless) 프로토콜이므로 클라이언트와 서버가 요청과 응답을 주고 받으면 연결이 끊어진다.
클라이언트가 다시 요청을 시도할 때 서버는 이전 요청에 대한 정보를 알지 못한다.
이러한 무상태성의 취약점을 보완하기 위하여 쿠키를 사용한다.

만약 쿠키를 사용하지 않고 요청을 한다면 모든 요청의 query parameter나 request body에 사용자 정보가 추가되야한다.

• GET /car?user={사용자 정보} HTTP/1.1
• POST /car?user={사용자 정보} HTTP/1.1
• PUT /car?user={사용자 정보} HTTP/1.1
• PATCH /car?user={사용자 정보} HTTP/1.1
• DELETE /car?user={사용자 정보} HTTP/1.1

쿠키 저장소에 사용자 정보가 저장되었다고 가정하고 위의 요청을 바꿔보자.

• GET /car HTTP/1.1
  Cookie: user={사용자 정보}
• POST /car HTTP/1.1
  Cookie: user={사용자 정보}
• PUT /car HTTP/1.1
  Cookie: user={사용자 정보}
• PATCH /car HTTP/1.1
  Cookie: user={사용자 정보}
• DELETE /car HTTP/1.1
  Cookie: user={사용자 정보}

이제 더 이상 query parameter에 사용자 정보가 포함되지 않는다.
정확히 주로직(차량 CRUD)과 부로직(사용자 인증)이 분리되었다.

쿠키에 대해서 조금 더 자세하게 살펴보자.

• 예) set-cookie: sessionId=mac0115; expires=2021-06-28 00:00:00 KST; path=/; domain= macarthur.com; Secure
• 주로 사용자 로그인 세션 관리와 광고 정보 트래킹에 사용된다.
• 쿠키의 정보는 항상 서버에 전송되므로 네트워크 트래픽이 추가 발생된다.
• 쿠키의 데이터는 언제든 조회 가능하므로 보안이 필요한 데이터는 저장하면 안된다.

생명주기 (Expires, max-age)

• Set-Cookie: 2021-06-28 00:00:00 KST
  • 만료일이 되면 쿠키를 삭제한다.
• Set-Cookie: max-age=3600 (3600 seconds)
  • 0이나 음수를 지정하면 쿠키를 삭제한다.
• 세션 쿠키 (session cookie): 만료 날짜를 생략하면 브라우저 종료시 까지만 유지된다.
• 영속 쿠키 (persistent cookie): 만료 날짜를 입력하면 해당 날짜까지 유지된다.

도메인 (Domain)

• 명시한 문서 기준 도메인 + 서브 도메인까지 포함된다.
  • domain=macarthur.com를 지정해서 쿠키를 생성한 경우 macarthur.com 뿐만 아니라 dev.macarthur.com 까지 쿠키에 접근이 가능하다.
• 도메인을 지정하지 않는 경우 접속 기준 도메인만 적용된다.
  • macarthur.com 에서 쿠키를 생성하고 domain을 생략하는 경우 macarthur.com 에서는 쿠키에 접근이 가능하지만 dev.macarthur에서는 쿠키에 접근이 불가하다.

경로 (Path)

• 경로를 포함한 하위 경로 페이지만 쿠키에 접근이 가능하다.
• 일반적으로 path=/ 루트로 지정한다.
• path=/macarthur로 지정한 경우
  • /macarthur -> 쿠키 접근 가능
  • /macarthur/image -> 쿠키 접근 가능
  • /macarthur/image/jpeg -> 쿠키 접근 가능
  • /roy -> 쿠키 접근 불가능

보안 (Secure, HttpOnly, SameSite)

• Secure

  • 쿠키는 HTTP, HTTPS를 구분하지 않고 전송한다.
  • Secure를 사용하는 경우 HTTPS 일 경우에만 전송한다.

• HttpOnly

  • XSS 공격을 방지하기 위해 사용한다.
  • 자바스크립트에서 접근이 불가하다.
  • HTTP 전송에만 사용된다.

• SameSite

  • XSRF 공격을 방지하기 위해 사용한다.
  • 요청 도메인과 쿠키에 설정된 도메인이 같은 경우에만 쿠키를 전송한다.