📌 week(15) - 세션 기반 인증과 토큰 기반 인증을 비교해서 설명해 주세요.

이번 시간에는 사용자가 로그인하는 방법 중 session 기반 인증, token 기반 인증(JWT)에 대해서 알아보고 각각 차이점이 뭔지 살펴보자 🧐

---

1️⃣ 세션 기반 인증

개념
사용자가 로그인하면 서버는 고유한 세션 ID를 생성하여 서버의 메모리에 저장하고, 해당 세션 ID를 클라이언트에 쿠키 형태로 전달합니다.
이후 클라이언트는 서버에 요청을 보낼 때 이 세션 ID를 포함하여 전송합니다.

세션 기반 인증 과정

위 그림에서 3단계는 서버가 세션 ID를 쿠키 형태로 클라이언트에 보낸다. 클라이언트는 이 세션 ID 쿠키를 저장한다.

4단계는 브라우저는 이후 모든 요청마다 저장한 세션 ID 쿠키를 자동으로 서버에 포함해 보냅니다. 서버는 이 세션 ID를 통해 유저를 식별하고, 인증된 상태임을 확인합니다.

이후 5단계에서 유저 인증 후, 6단계에서는 서버가 HTTP 응답을 보낼 때 세션 ID를 Set-Cookie 헤더에 포함되어 전달

HTTP/1.1 200 OK
Content-Type: application/json
Set-Cookie: sessionId=abc123; HttpOnly; Secure; Path=/; Max-Age=3600

▸ Set-Cookie • 세션 ID가 sessionId=abc123로 설정되어 브라우저에 저장됩니다.

▸ HttpOnly • 자바스크립트에서 이 쿠키에 접근할 수 없도록 설정, 보안을 강화합니다.

▸ Secure • HTTPS 연결에서만 전송됩니다.

▸ Path=/ • 이 쿠키가 어느 경로에서 유효한지 설정.

▸ Max-Age • 쿠키의 유효 기간을 초 단위로 설정 

 

---

세션 기반 인증의 장점과 단점

장점 - 보안이 강하다

세션 데이터는 서버에 저장되므로, 클라이언트 측에서 변조가 어렵습니다.

서버에서 세션 정보를 직접 관리하므로, 민감한 데이터가 클라이언트에 저장되지 않고 안전하게 처리됩니다.

그래서 보안이 중요한 은행 웹사이트, 관리자 페이지에서 주로 사용합니다.

단점 - 서버 메모리 사용

서버 메모리에 세션 정보를 저장해야 하므로, 접속하는 유저가 많아질수록 서버의 메모리 사용량이 늘어납니다.

대규모 트래픽 환경에서 서버 부하가 증가할 수 있습니다.

 

---

2️⃣ 토큰 기반 인증 (JWT)

개념
사용자가 로그인하면 서버는 토큰(JWT)을 생성하여 클라이언트에 전달합니다.
클라이언트는 이 토큰을 로컬 스토리지나 세션 스토리지에 저장하고, 이후 요청 시마다 토큰을 헤더에 포함하여 서버에 전송합니다.

토큰 기반 인증 과정

위 그림 2단계에서 생성된 JWT를 포함한 HTTP 응답의 형식

HTTP/1.1 200 OK
Content-Type: application/json

{
  "token": "your.jwt.token.here"
}

 

---

토큰 기반 인증의 장점과 단점

장점 - 관리 용이성

클라이언트 측에서 쿠키를 자동으로 보내므로 토큰 관리를 간편하게 할 수 있습니다. ex) 로그인된 기기 관리

단점 - 보안 위험

쿠키에 민감한 정보가 포함되면 *CSRF(Cross-Site Request Forgery) 공격에 취약해질 수 있습니다.

CSRF는 사용자가 인증된 상태에서 공격자가 의도치 않은 요청을 보내는 방식으로, 사용자 정보를 탈취할 위험이 있습니다.

 

---

토큰 기반 인증의 사용 예시

▸ RESTful API - GitHub API를 사용하여 사용자 리포지토리 목록을 가져오는 요청. 사용자는 인증 후 JWT를 헤더에 포함하여 API에 접근합니다.

▸ Single Page Applications (SPAs) 

▸ Mobile Applications - 주로 항공사 앱에서 사용자가 로그인한 후, JWT를 사용하여 예약 정보를 가져오고 체크인할 때 서버에 요청합니다.

▸ OAuth 2.0 - 구글 아이디나 카카오톡의 간편 소셜 로그인

 

---

📌 차이점 요약

	세션 기반 인증	토큰 기반 인증 (JWT)
저장 위치	서버 메모리에 세션 저장	클라이언트 로컬/세션 스토리지에 저장
상태 관리	서버가 상태를 저장	서버가 상태를 저장하지 않음
보안	세션 정보가 서버에 있어 보안성이 높음	토큰이 탈취되면 위험
확장성	서버 메모리 부담이 커짐	서버 부하가 적고 확장성 높음