쿠키&세션 vs JWT 을 사용한 로그인

쿠키 & 세션을 사용한 로그인

쿠키

서버의 응답으로 나의 웹 브라우저에 저장되는 정보.

로그인 시 서버로 부터 세션ID를 응답 받아 저장한다. 로그인 권한이 필요한 요청을 서버로 할 때마다 쿠키 정보를 같이 보낸다.

 

세션

client에서 server로 가는 모든 요청이 이전 request와 독립적으로 이루어진다(stateless). 따라서 우리가 서버에 요청을 보낼 때마다 내가 누구인지 알려주어야 한다.

client가 id, pw를 확인하여 맞으면 세션 DB에 유저를 생성한다. 이 때 세션ID는 쿠키를 통해 돌아오고 웹 브라우저에 저장된다. client가 인가가 필요한 요청을 할 때마다 server는 세션ID를 세션DB에 저장된 값과 대조하여 확인 후 client에게 응답한다.

쿠키 & 세션을 사용한 로그인의 장단점

장점

• 세션 정보를 사용하여 로그인한 유저를 제어할 수 있다.
• ex) 인스타그램의 디바이스 강제 로그아웃, 넷플릭스 로그인 수 제한.

단점

• 사용자가 많아질 수록 DB가 커지므로 비용이 많이 든다.

 

 

 

JWT를 사용한 로그인

JWT

client가 보낸 id, pw가 맞으면 서버는 유저 식별자에 싸인된 정보인 JWT를 client에게 전달한다.

client는 인가가 필요한 요청 시 JWT와 함께 요청을 보내고 서버는 해당 토큰이 유효한지 확인하고 권한을 허락한다. 서버는 해당 토큰이 유효한지만 확인하고 세션DB에서 정보를 저장하지 않아도 된다.

JWT를 사용한 로그인의 장단점

장점

• JWT 사용으로 토큰의 유효성을 판단할 수 있기에 다른 DB를 사지 않아도 된다.

단점

• 토큰이 만료되기 전까지는 임의로 토큰을 무효화할 수 없다.
• ex) 다른 디바이스로 로그인된 정보를 나의 핸드폰, server에서 제어할 수 없다.