session cookie jwt 장단점

Question

열심히 생각해 봤는데 틀린 부분 있나요?session보안성이 가장 좋다.서버가 스케일 아웃 하는 것에 대응해야 한다.세션키가 쿠키이므로 쿠키 탈취에 대응해야 한다.세션이 메모리에 있으면 서버 과부하가 발생한다.로그아웃에 대응하기 어렵다.cookie평문이다.변조가 쉽다.사이즈제한이 있다.쿠키 탈취에 대응해야 한다.jwt디코딩하면 역시나 평문이다.사이즈 제한이 없다.변조가 불가능하다.도메인을 넘어서도 사용 가능하다.토큰 탈취에 대응해야 한다.토큰 유효성 검사가 필요하면 결국 디비 접속이 필요하다.결론:세션을 redis 와 같은 메모리 디비에 저장한다.(스케일 아웃 대응, 로그아웃 대응.)쿠키에 세션 복구를 위한 키를 생성하고 디비에도 저장한다.(세션 유지시간을 짧게 해서 메모리 디비 부하에 대응)로그아웃 하는 경우 세션 및 쿠키와 디비에 저장된 복구키도 삭제한다.(쿠키 탈취 대응)jwt 에는 상황에 따라 여러 정보를 넣을 수 있지만,세션 정보가 없을 때는 반드시 유효성 체크(디비접속) 후 세션정보 생성 후 사용하는 것이 맞다고 본다.ps. jwt 는 쿠키 상위호환 정도의 기능이라 생각되네요.

kenu,전독시 · Answer

로그아웃에 대응하기 어렵다.이게 왜 어려운지 모르겠습니다. 세션만 지우면 되는데,

FeelingXD · Answer

Jwt 가 로그아웃 에 대응하기 어려운것 같습니다.

wharup · Answer

1. session: 로그아웃에 대응하기 어렵다 → session이 아니라 jwt 이야기 같습니다.2. 토큰 유효성 검사가 필요하면 결국 디비 접속이 필요하다. → 일반적으로 필요 없지만, 로그아웃 등으로 예정 보다 빨리 폐기될 수 있을 때는 DB나 토큰을 관리하는 서비스에 조회해야 합니다.3. session: 세션이 메모리에 있으면 서버 과부하가 발생한다 → 그런가요? 세션 클러스터링일 때 스케일 아웃이 어렵다는 이야라면 맞겠네요.4. 세션 유지 시간을 짧게해서 메모리 디비의 부하 대응한다는 건.. 왜 필요한지 모르겠습니다.

Clickin · Answer

스레드로컬에 세션 객체를 통으로 저장하는 방식에서 발생하는 메모리 부하면 모를까네카라쿠배급도 아니라면 세션때문에 메모리 부하를 걱정할 일은 없을 듯 합니다.세션이라고 해봐야 아이디 이름 롤 그정도 언저리에서 정리되니까요

session cookie jwt 장단점

4개의 답변

Q&A 목록