session vs jwt 로그인

로그인을 구현하는데 자주 사용되는 방식으로 세션(Session)방식과 토큰(JWT)방식이 있다. 그래서 간단히 이 두가지 방식은 어떻게 다른지를 간단히 정리해보고, 내가 JWT을 이용해 로그인을 구현한 방식도 기록해보려 한다.

---

#. http stateless

먼저 http는 connectionless(비연결성), stateless(무상태) 라는 두가지 특성을 가지고 있다. 비연결성이란 클라이언트가 서버에 요청을 보내어 서버가 클라이언트에 응답을 마친 후 연결을 끊어버리는 특징을 말한다. 즉 클라이언트와 서버가 한번의 통신이 이루어진 후 그 연결성이 끊어지는 것.

그리고 무상태란 비연결성 특징으로 인해 서버가 클라이언트 식별할 수 없는 특징을 말한다. 클라이언트와 서버가 한번의 통신 후 연결이 끊어지기 때문에 기존의 동일한 클라이언트가 서버와 다시 통신을 하게 되더라도 서버는 해당 클라이언트가 이전에 통신을 했던 클라이언트인지 전혀 알 수 없다는 것이다. 

 

그래서 이러한 http의 특성 때문에 웹사이트에서 로그인 한 상태를 유지하려면 세션이나 토큰을 이용해 로그인한 '상태'를 기억해야 한다. 즉 서버가 클라이언트를 식별할 수 있도록 만들어야 한다.

 

 

#. session 과 jwt

session(이하 세션)은 서버단에서 시용자 정보를 메모리에 저장하는 방식이다. 서버가 클라이언트를 구분하기 위해 세션 ID를 부여해 유효시간 만료 시까지 또는 브라우저가 종료될 때까지 인증 상태를 유지할 수 있다. 클라이언트단에서 저장할 수 있는 방법인 쿠키에 비해 정보를 서버에서 관리함으로 보안 측면에선 더 좋다. 하지만 서버 메모리를 차지하는 만큼 동시 접속하는 클라이언트 수가 많을 경우 서버 과부하의원인이 되기도 한다. 

 

또다른 방식으론 jwt(json web token) 방식이 있다. jwt는 서버가 암호화된 정보를 클라이언트에게 주고, 클라이언트에서 이를 저장해두었다가 서버에 확인 요청 시 서버가 복호화하여 확인하는 방식이라 정보를 클라이언트에 저장하지만 보안을 유지할 수 있다는 점이 쿠키와는 또 다르다. 

 

그런데 내가 jwt을 공부하면서 의문이 들었던 점은 결국 refresh 토큰을 서버에서도 DB에 저장해두어야 하는데, 그럼 session 방식이 서버의 메모리를 많이 차지할 수 있다는 단점과 똑같지 않나? 하는 점이였다. 

 

그래서 조금 더 찾아보니 서버에서 session과 DB에 저장하는데 차이점이 존재하는거 같다. 첫번째로 데이터를 디스크에 저장/관리하는 '디스크 기반 데이터베이스'가 있고, 두번째로 데이터를 디스크가 아닌 메모리에 저장/관리하는 '인메모리 데이터베이스'가 있다.  

 

디스크 기반의 데이터베이스는 지속성 및 안정성이 보장되고 쉽게 확장 가능해 대용량 데이터 처리에 용이하다고 한다. 하지만 디스크에서 데이터를 찾는 시간, 디스크에서 데이터를 전송하는 시간 등의 병목 현상이 발생한다. 내가 사용한 MySQL이나 Oracle이 여기에 해당한다.

 

인메모리 데이터베이스는 데어터 접근 속도가 빠르지만 디스크에 비해 상대적으로 가격이 비싸며, 주 저장소(RAM)인 메모리가 휘발성이란 특징이 있어 서버 장애 발생 시 데이터 소실 위험히 존재한다. 하지만 사용자 로그인 정보의 경우 영원히 저장되어야 하는 정보가 아니기 때문에 session ID를 저장할 땐 인메모리 데이터베이스가 사용된다고 한다.

 

따라서 내가 jwt를 구현하면서 토큰을 MySQL을 이용해 데이터를 저장하는 것과 session으로 데이터를 저장하는 것은 다른거 같다. 사실 100% 이해되진 않아서 이부분은 추가적으로 더 공부를 해야 할 거 같다 🤔

---

#. jwt 로그인 구현

내가 구현한 로그인 과정은 이렇다. 먼저 클라이언트에서 입력받은 아이디와 비밀번호를 서버에 전달하면 서버가 사용자 DB를 조회하여 정보가 있는지 확인 후 있으면 access token과 refresh token을 만들어 클라이언트에 전달한다. 이때 access token은 만료시간을 짧게 설정하여 보내고, refresh token은 DB에 저장해둔다.

 

클라이언트는 두가지 토큰을 서버로부터 전달받으면 access token은 http header에 저장하고, refresh token은 쿠키에 저장했다. 그리고 로그인 인증이 필요한 mypage 페이지에 접근 시 서버는 클라이언트의 access token을 확인한 후 응답해주도록 했다.

 

만약 access token의 만료시간이 지났으면 클라이언트에 refresh token을 요청하고 클라이언트는 쿠키에 저장된 refresh token 값을 다시 전달한다. 그럼 서버는 DB에서 refresh token을 찾아와 서로 동일한지 확인 후 새로이 access token과 refresh token을 만들어 준다.