쿠키와 세션의 차이 – 개념 및 활용, 로그인 상태는 어떻게 유지되는가?

목차

1. 로그인은 한 번만 했는데 왜 계속 유지될까?
2. HTTP는 기본적으로 상태를 기억하지 못한다
3. 쿠키(Cookie)란 무엇인가?
4. 세션(Session)이란 무엇인가?
5. 쿠키와 세션의 차이 비교
6. 실제 로그인 과정에서 쿠키와 세션이 동작하는 방식
7. 쿠키와 세션의 보안 이슈
8. 정리 및 다음 단계

1. 로그인은 한 번만 했는데 왜 계속 유지될까?

네이버에 로그인하면 브라우저를 닫았다 열어도 로그인 상태가 유지됩니다. 반대로 어떤 사이트는 일정 시간이 지나면 자동으로 로그아웃됩니다.

인터넷 쇼핑몰에서 상품을 장바구니에 담고 페이지를 이동해도 장바구니 내역이 사라지지 않습니다. 이런 것들이 모두 가능한 이유가 바로 쿠키와 세션 덕분입니다.

2. HTTP는 기본적으로 상태를 기억하지 못한다

쿠키와 세션을 이해하려면 먼저 HTTP의 특성을 알아야 합니다.

HTTP는 무상태(Stateless) 프로토콜입니다. 서버는 각 요청을 완전히 독립적으로 처리하며, 이전 요청을 기억하지 못합니다.

쉬운 비유로 설명하면, 매번 방문할 때마다 기억을 잃는 가게 직원과 같습니다. 오늘 처음 방문해서 주문한 손님이 5분 후 다시 와도 직원은 그 사람을 전혀 기억하지 못합니다.

이 특성 때문에 서버는 "이 요청을 보낸 사람이 아까 로그인한 그 사람이구나"를 자동으로 알 수 없습니다. 이 문제를 해결하기 위해 쿠키와 세션이 등장했습니다.

3. 쿠키(Cookie)란 무엇인가?

쿠키는 서버가 브라우저에 저장하도록 요청하는 작은 텍스트 데이터입니다. 브라우저는 쿠키를 저장해두고, 이후 같은 서버에 요청을 보낼 때마다 자동으로 쿠키를 함께 전송합니다.

쿠키의 동작 방식을 순서대로 살펴보면 다음과 같습니다. 사용자가 처음 사이트에 접속하면 서버가 브라우저에게 "이 쿠키를 저장해줘"라고 응답합니다. 브라우저는 쿠키를 저장합니다. 사용자가 같은 사이트에 다시 요청을 보내면 브라우저가 저장된 쿠키를 자동으로 요청에 포함시킵니다. 서버는 쿠키를 확인해서 누가 요청했는지 식별합니다.

쿠키의 주요 특징은 다음과 같습니다. 브라우저(클라이언트)에 저장됩니다. 만료 기간을 설정할 수 있어 브라우저를 닫아도 유지됩니다. 용량이 작습니다(4KB 제한). 사용자가 직접 확인하거나 삭제할 수 있습니다.

4. 세션(Session)이란 무엇인가?

세션은 사용자 정보를 서버에 저장하는 방식입니다. 서버는 각 사용자에게 고유한 세션 ID를 부여하고, 이 ID를 쿠키에 담아 브라우저로 전달합니다. 이후 브라우저는 요청마다 세션 ID를 담은 쿠키를 서버로 전송하고, 서버는 세션 ID로 해당 사용자 정보를 찾아 처리합니다.

세션의 주요 특징은 다음과 같습니다. 실제 데이터는 서버에 저장되고, 브라우저에는 세션 ID만 전달됩니다. 브라우저를 닫으면 기본적으로 세션이 종료됩니다. 서버에서 세션을 직접 만료시킬 수 있습니다. 서버 메모리나 데이터베이스를 사용하기 때문에 쿠키보다 많은 자원을 사용합니다.

5. 쿠키와 세션의 차이 비교

구분쿠키세션

저장 위치	브라우저(클라이언트)	서버
보안	상대적으로 낮음	상대적으로 높음
만료	설정한 기간 유지	브라우저 종료 시 또는 서버 설정 기간
저장 용량	작음 (4KB)	상대적으로 큼
서버 부하	없음	있음
사용 예	자동 로그인, 장바구니, 설정 저장	로그인 인증, 민감한 사용자 정보

6. 실제 로그인 과정에서 쿠키와 세션이 동작하는 방식

일반적인 로그인 처리 흐름을 순서대로 살펴보겠습니다.

첫 번째로 사용자가 아이디와 비밀번호를 입력해 로그인 요청을 보냅니다.

두 번째로 서버는 아이디와 비밀번호를 확인하고, 일치하면 세션을 생성합니다. 세션에는 사용자 ID, 로그인 시간 등의 정보가 저장됩니다.

세 번째로 서버는 생성된 세션 ID를 쿠키에 담아 브라우저로 전달합니다.

네 번째로 브라우저는 세션 ID가 담긴 쿠키를 저장합니다.

다섯 번째로 이후 사용자가 다른 페이지에 접속할 때 브라우저가 자동으로 세션 ID 쿠키를 서버에 전송합니다.

여섯 번째로 서버는 세션 ID로 저장된 사용자 정보를 찾아 로그인 상태를 확인하고 페이지를 제공합니다.

이 과정 덕분에 매 페이지마다 다시 로그인하지 않아도 로그인 상태가 유지됩니다.

7. 쿠키와 세션의 보안 이슈

쿠키의 보안 취약점 쿠키는 브라우저에 저장되기 때문에 사용자가 직접 내용을 볼 수 있고 수정도 가능합니다. 또한 XSS(Cross-Site Scripting) 공격으로 쿠키가 탈취될 수 있습니다. 이를 방지하기 위해 HttpOnly 속성을 설정하면 JavaScript로 쿠키에 접근하는 것을 막을 수 있습니다. Secure 속성을 설정하면 HTTPS 연결에서만 쿠키가 전송됩니다.

세션 하이재킹 세션 ID가 담긴 쿠키를 공격자가 탈취하면, 그 ID로 서버에 접근해 해당 사용자인 척 행동할 수 있습니다. 이를 세션 하이재킹이라고 합니다. 공용 와이파이에서 HTTPS가 아닌 사이트를 사용할 때 특히 위험합니다.

8. 정리 및 다음 단계

오늘 배운 핵심을 정리합니다.

• HTTP는 무상태 프로토콜이라 서버가 사용자를 기억하지 못합니다. 이 문제를 쿠키와 세션으로 해결합니다.
• 쿠키는 브라우저에 데이터를 저장하고, 요청마다 자동으로 서버에 전송됩니다.
• 세션은 서버에 데이터를 저장하고, 브라우저에는 세션 ID만 쿠키로 전달합니다.
• 로그인 인증처럼 민감한 정보는 세션으로, 설정 저장이나 자동 로그인처럼 긴 기간 유지가 필요한 것은 쿠키로 처리합니다.

다음 글에서는 JWT 토큰이란 무엇인지, 토큰 기반 인증이 어떻게 동작하는지 알아보겠습니다.