Cookie의 옵션들

✔️ Cookie

쿠키는 클라이언트에 데이터를 저장하기 위한 수단 중 하나이다.

 

서버가 클라이언트에게 쿠키를 전송하기도 하며, 클라이언트가 서버로 쿠키를 전송하기도 한다.

 

서버가 클라이언트에 데이터를 저장할 수 있으나, 아무 때나 데이터를 이용할 수는 없다.

데이터를 저장한 이후 특정 조건들이 만족하는 경우에만 다시 가져올 수 있다.

 

이러한 조건들은 쿠키 옵션으로 표현할 수 있습니다.

---

✅ Domain

쿠키의 도메인 옵션과 서버의 도메인이 일치해야만 쿠키를 전송할 수 있게 한다.

 

도메인은 www.google.com 과 같은 서버에 접속할 수 있는 이름이다 

쿠키 옵션에서 도메인은 포트 및 서브 도메인 정보, 세부 경로를 포함하지 않는다.

쿠키 옵션의 도메인은 http://www.localhost.com:3000/users/login 이라 하면, Domain은 localhost.com 이다

 

✅ Path

설정된 path를 전부 만족하는 경우 요청하는 Path가 추가로 더 존재하더라도 쿠키를 서버에 전송할 수 있도록 한다.

명시하지 않으면 기본으로  /  으로 설정되어 있다

 

ex) Path : /users , 요청하는 세부 경로 : /users/eroom <- 쿠키 전송 가능

 

✅ MaxAge, Expires

쿠키가 유효한 기간을 정하는 옵션

• MaxAge : 앞으로 몇 초 동안 쿠키가 유효한지 설정하는 옵션
• Expires : 클라이언트의 시간을 기준으로 언제까지 유효한지 Data를 지정

 

쿠키는 위 옵션의 여부에 따라 세션 쿠키와 영속성 쿠키로 나뉜다

• 세션(Session) 쿠키 : MaxAge 또는 Expires 옵션이 없는 쿠키로, 브라우저가 실행 중일 때 사용할 수 있는 임시 쿠키, 브라우저를 종료하면 해당 쿠키는 삭제됨
• 영속성(Persistent) 쿠키 : 브라우저의 종료 여부와 상관없이 MaxAge 또는 Expires에 지정된 유효시간만큼 사용 가능한 쿠키

 

✅ Secure

쿠키를 전송해야 할 때 사용하는 프로토콜에 따른 쿠키 전송 여부를 결정

 

만약 해당 옵션이 true일 경우 HTTPS 프로토콜 이용하여 통신하는 경우에만 쿠키를 전송할 수 있다.

 

✅ HttpOnly

자바스크립트에서 브라우저의 쿠키에 접근 가능 여부를 설정한다.

해당 옵션이 true일 경우 자바스크립트에서는 쿠키에 접근이 불가능해진다.

 

false인 경우 자바스크립트에서 쿠키에 접근이 가능하므로 'XSS' 공격에 취약하다

 

✅ SameSite

Cross-Origin 요청을 받은 경우 요청에서 사용한 메서드와 해당 옵션(GET, POST, PUT, PATCH ... )의 조합으로 서버의 쿠키 전송 여부를 결정한다.

• Lax : Cross-Origin 요청이면 'GET' 메서드에 대해서만 쿠키를 전송할 수 있다
• Strict : Cross-Origin이 아닌 same-site 인 경우에만 쿠키를 전송할 수 있다.
• None : 항상 쿠키를 보내줄 수 있다. 다만 쿠키 옵션 중 Secure 옵션이 필요하다.

 

❗️ same-site는 요청을 보낸 Origin과 서버의 도메인, 프로토콜, 포트가 같은 경우

서버에서 클라이언트로 쿠키를 처음 전송하게 된다면 헤더에 Set-Cookie라는 프로퍼티에 쿠키를 담아 쿠키를 전송하게 된다.

이후 클라이언트 혹은 서버에서 쿠키를 전송해야 한다면 클라이언트는 헤더에 Cookie라는 프로퍼티에 쿠키를 담아 서버에 쿠키를 전송한다.

---

쿠키의 특성을 이용하여 서버는 클라이언트에 인증정보를 담은 쿠키를 전송하고, 클라이언트는 전달받은 쿠키를 요청과 같이 전송하여 Stateless한 인터넷 연결을 Stateful하게 유지할 수 있다.

 

하지만 기본적으로는 쿠키는 오랜 시간 동안 유지될 수 있고, 자바스크립트를 이용하여 쿠키에 접근할 수 있기 때문에 쿠키에 민감한 정보를 담는 것은 위험하므로 주의하여 사용해야 한다.