웹 로그인 유지 원리와 쿠키 세션의 동작 방식

웹사이트에서 한 번 로그인하면 페이지를 이동하거나 창을 새로고침해도 로그인 상태가 계속 유지됩니다. 기본적으로 웹 통신에 사용되는 HTTP 프로토콜은 상태를 기억하지 않는 무상태(Stateless) 특성을 갖습니다. 따라서 서버와 클라이언트는 로그인 상태를 기억하기 위한 별도의 메커니즘을 사용해야 합니다.

가장 전통적인 로그인 유지 원리는 쿠키 세션 방식입니다. 사용자가 아이디와 비밀번호를 입력해 로그인을 요청하면, 서버는 그 정보가 맞는지 확인한 후 메모리나 데이터베이스에 세션 정보를 생성합니다. 그리고 이 세션을 식별할 수 있는 무작위 문자열인 세션 ID를 발급하여 클라이언트에게 전달합니다.

클라이언트는 브라우저의 쿠키에 이 세션 ID를 저장해 두고, 이후 모든 요청을 보낼 때마다 헤더에 담아 서버로 전달합니다. 서버는 들어온 세션 ID가 저장소에 있는지 조회하여 맞다면 사용자를 인증된 상태로 처리합니다. 비유하자면 놀이공원에서 입구 직원이 방문자 명부를 작성하고, 손님에게는 단순한 번호표를 건네주는 것과 같습니다.

서버 부담을 줄여주는 토큰 인증과 JWT 개념

쿠키 세션 방식은 안전하지만, 동시 접속자가 수십만 명으로 늘어나면 서버 메모리와 저장소에 큰 부담을 줍니다. 또한 여러 대의 서버를 운영하는 대규모 서비스에서는 모든 서버가 동일한 세션 정보를 공유해야 하는 번거로움이 발생합니다. 이러한 한계를 극복하기 위해 등장한 것이 토큰 인증 방식입니다.

토큰 인증의 대표적인 표준이 바로 JWT 개념(JSON Web Token)입니다. JWT는 인증에 필요한 정보들을 JSON 형태로 담은 후, 이를 비밀키로 서명하여 발급하는 전자 보증서와 같습니다. 토큰 내부에는 사용자 식별 정보와 만료 시간, 그리고 데이터가 위조되지 않았음을 증명하는 디지털 서명이 포함되어 있습니다.

토큰 방식에서 서버는 사용자의 상태를 직접 기억하지 않습니다. 로그인이 성공하면 JWT를 발급해 클라이언트에게 건네주고 끝납니다. 이후 클라이언트는 요청마다 이 토큰을 제출하며, 서버는 자신이 가진 비밀키로 토큰의 서명이 유효한지만 검증하면 됩니다. 놀이공원에 비유하면 명부를 확인하는 대신, 위조가 불가능한 도장이 찍힌 자유이용권 팔찌를 손님에게 직접 착용시키는 셈입니다.

한눈에 비교하는 세션 토큰 인증 차이와 선택 기준

세션 토큰 인증 차이의 핵심은 바로 서버가 상태를 기억하느냐(Stateful), 아니면 기억하지 않느냐(Stateless)에 있습니다. 세션 방식은 서버가 모든 상태를 관리하므로 특정 사용자의 접속을 강제로 종료하거나 즉시 권한을 박탈하는 등의 제어가 매우 용이합니다. 하지만 서버 확장 시 세션 동기화 비용이 발생한다는 단점이 있습니다.

반면 JWT 토큰 인증 방식은 서버가 상태를 저장하지 않으므로 서버를 수십 대 이상 늘려도 별도의 세션 공유 과정이 필요 없습니다. 이에 따라 웹 브라우저뿐만 아니라 모바일 앱이나 다양한 microservice 환경에서 API 호출을 처리할 때 매우 높은 효율성을 보여줍니다.

하지만 토큰 인증 방식은 한 번 발급된 토큰이 탈취당했을 때 만료 시간이 다 될 때까지 서버에서 임의로 무효화하기 어렵다는 단점이 존재합니다. 따라서 보안이 극도로 중요한 금융 서비스나 단일 서버 중심의 웹 서비스는 세션 방식을 선호하며, 대규모 트래픽을 처리하는 모바일 앱 서비스나 분산 시스템은 JWT 기반 토큰 방식을 주로 채택합니다.

서비스 환경에 맞는 인증 방식의 중요성

웹 서비스의 규모와 목적에 따라 적절한 인증 아키텍처를 선택하는 것은 매우 중요합니다. 세션 방식과 토큰 방식은 어느 하나가 절대적으로 우위에 있다기보다 해결하고자 하는 문제 영역이 다릅니다. 각 방식의 원리와 장단점을 정확히 이해하고 보안 정책과 시스템 확장성을 균형 있게 고려하여 적용해야 합니다.