왜 토큰을 쿠키가 아닌 헤더에 담아서 보내나요?

Question

앱은 쿠키가 없다보니 토큰을 헤더 Authorization 담아서 보내는게 이해가됩니다.하지만 웹의경우 쿠키가있고, httpOnly속성을 사용하여 xss공격도 어느정도는 방어가 된다고 알고있습니다. 그렇다면 서버에서 토큰을 발행하여 httpOnly속성을 부여해서 쿠키에 태워 보내줘도 되는게 아닐까 하는 궁금증이 생겼습니다

개발 까마귀 · Answer

쿠키는 모든 요청에서 실려서 날라가기 때문에 훅킹(가져오기)가 쉽고 Authorization 같은 경우에는 선택적으로 보내기 때문에 비규칙적으로 담겨졌다 안담겨졌다 날라가는거죠 관련해서 더 이유가 있는걸로 알고있는데 하도 안써먹다보니 가물가물하네요.

カワウソ · Answer

쿠키도 헤더에 해당되고 굳이 쿠키에 저장된 여러가지 값들 중에서 찾을 필요가 없어요. 다중 클라이언트에 대해서 지원해야하는 서버 입장에선 구현 방식를 통일화할 수 있다는 점이 있긴하죠.OAuth 뿐만 아니라 대부분 Auhorization 헤더를 이용하는 것 RFC 표준으로 포함되는 걸로 알고 있습니다.

르매 · Answer

웹의 경우 토큰을 http only cookie에 저장하는 것을 일반적으로 권고 되는 방식이 맞으니 그렇게 하시면 좋습니다. 다만, 프론트엔드 입장에서는 토큰의 만료 여부나 토큰의 페이로드에서 정보를 꺼내 쓰는 것을 못하는 것은 물론 토큰 자체가 있는지 없는지 조차 모르게 되죠.즉 http only cookie를 사용하면 보안적으로는 우수하지만, 현재 로그인 여부라던가.. 별도로 신경 쓸 곳이 생겨나는 번거로움도 있습니다. (그럼에도 저는 이 방식이 더 좋다고 생각하지만.. ㅎㅎ)

왜 토큰을 쿠키가 아닌 헤더에 담아서 보내나요?

3개의 답변

Q&A 목록