쿠키와 세션 (Cookie, Session)

쿠키(Cookie)는 서버가 브라우저에 저장하도록 지시하는 작은 키와 값의 쌍이며, 브라우저는 같은 사이트로 요청을 보낼 때마다 저장된 쿠키를 자동으로 첨부한다. 세션(Session)은 이 쿠키를 운반 수단으로 삼아, 사용자별 상태 정보를 서버 쪽 저장소에 보관하는 상태 유지 기법이다. 두 개념은 대립하는 선택지가 아니라, 쿠키가 전달 통로이고 세션이 그 위에서 동작하는 구조로 서로 맞물려 있다.

쿠키의 동작 원리

서버는 HTTP 응답의 Set-Cookie 헤더로 쿠키를 내려주고, 브라우저는 이를 도메인별로 저장한다. 이후 같은 도메인으로 요청을 보낼 때 브라우저가 Cookie 헤더에 값을 자동으로 실어 보내므로, 개발자가 매 요청마다 값을 챙길 필요가 없다.

HTTP/1.1 200 OK
Set-Cookie: theme=dark; Path=/; Max-Age=2592000
Set-Cookie: sid=a8f3c1; HttpOnly; Secure; SameSite=Lax

GET /mypage HTTP/1.1
Host: example.com
Cookie: theme=dark; sid=a8f3c1

쿠키에는 수명 개념이 있다. Max-Age나 Expires를 지정하면 디스크에 저장되어 브라우저를 껐다 켜도 남는 지속 쿠키(Persistent Cookie)가 되고, 지정하지 않으면 브라우저 세션이 끝날 때 사라지는 세션 쿠키(Session Cookie)가 된다. 보안 속성도 중요하다. HttpOnly를 붙이면 자바스크립트(JavaScript)의 document.cookie로 접근할 수 없어 XSS로 인한 탈취를 막고, Secure는 HTTPS 연결에서만 전송되게 하며, SameSite는 다른 사이트에서 시작된 요청에 쿠키를 붙일지 제어해 CSRF를 완화한다. 최신 브라우저는 SameSite를 명시하지 않으면 Lax를 기본값으로 적용한다.

세션의 동작 과정

세션은 민감한 상태를 브라우저가 아니라 서버에 두는 방식이다. 전형적인 로그인 흐름은 다음과 같다.

1. 사용자가 아이디와 비밀번호를 제출하면 서버가 자격 증명을 검증한다.
2. 서버가 세션 저장소에 사용자 식별 정보를 기록하고, 추측 불가능한 무작위 세션 식별자(Session ID)를 생성한다.
3. 서버가 이 식별자를 Set-Cookie로 내려주면 브라우저가 저장한다.
4. 이후 모든 요청에 쿠키가 자동 첨부되고, 서버는 식별자로 저장소를 조회해 어떤 사용자인지 복원한다.
5. 로그아웃하면 서버가 저장소에서 세션을 삭제하고 쿠키를 만료시킨다.

핵심은 쿠키에 담기는 값이 의미 없는 난수라는 점이다. 사용자 정보의 원본은 서버에만 있으므로, 클라이언트가 쿠키 값을 조작해도 저장소에 해당 항목이 없으면 무시된다. 세션 저장소로는 초기에 웹 서버의 메모리를 쓰지만, 서버가 여러 대가 되면 레디스(Redis) 같은 외부 공용 저장소로 옮기는 것이 일반적이다.