[Spring] 쿠키와 세션

쿠키

• 클라이언트에 저장될 목적으로 생성한 작은 정보를 담은 파일이다.
• 웹 브라우저에서 확인할 수 있다.
  (크롬 기준 F12 개발자 도구)

• 구성요소
  • Name (이름) : 쿠키를 구별하는 데 사용되는 키 (중복될 수 없음)
  • Value (값) : 쿠키의 값
  • Domain (도메인) : 쿠키가 저장된 도메인
  • Path (경로) : 쿠키가 사용되는 경로
  • Expires (만료기한) : 쿠키의 만료기한 (초 단위. 만료기한이 지나면 삭제된다.)

---

쿠키 다루기

Spring에서 Controller를 통해 쿠키를 생성하고 확인할 수 있다.

쿠키 생성

    @GetMapping("/create-cookie")
    public String createCookie(HttpServletResponse res) {
        addCookie("Robbie Auth", res);

        return "createCookie";
    }
    
    public static void addCookie(String cookieValue, HttpServletResponse res) {
        try {
            cookieValue = URLEncoder.encode(cookieValue, "utf-8").replaceAll("\\+", "%20"); // Cookie Value 에는 공백이 불가능해서 encoding 진행

            Cookie cookie = new Cookie(AUTHORIZATION_HEADER, cookieValue); // Name-Value
            cookie.setPath("/");
            cookie.setMaxAge(30 * 60);

            // Response 객체에 Cookie 추가
            res.addCookie(cookie);
        } catch (UnsupportedEncodingException e) {
            throw new RuntimeException(e.getMessage());
        }
    }

쿠키는 오직 알파벳과 숫자로만 이루어져야 한다.
따라서 인코딩을 통해 공백이나 다른 특수문자들을 수정해줘야 한다.

• new Cookie(NAME, VALUE) : Name과 Value를 생성자로 받는 Cookie를 생성한다.
• setPath(PATH) : 쿠키의 경로를 지정한다.
• setMaxAge(AGE) : 쿠키의 만료 시간을 지정한다.(30 * 60 : 30분)
• Http Servlet 응답 객체에 쿠키를 추가한다.

쿠키 읽기

    @GetMapping("/get-cookie")
    public String getCookie(@CookieValue(AUTHORIZATION_HEADER) String value) {
        System.out.println("value = " + value);

        return "getCookie : " + value;
    }

쿠키의 Name으로 값을 읽어온다. 자료구조 중 Map과 유사하다.

---

세션

• 서버에서 일정시간 동안 클라이언트 상태를 유지하기 위해 사용된다.
• 서버에서 클라이언트 별로 유일무이한 '세션 ID' 를 부여한 후 클라이언트 별 필요한 정보를 서버에 저장한다.
• 서버에서 생성한 '세션 ID' 는 클라이언트의 쿠키값('세션 쿠키' 라고 부름)으로 저장되어 클라이언트 식별에 사용된다.

세션 동작 방식

 

위 그림에서와 같이 서버는 세션ID 를 사용하여 세션을 유지한다.

1. 클라이언트가 서버에 1번 요청
2. 서버가 세션ID 를 생성하고, 쿠키에 담아 응답 헤더에 전달
   • 세션 ID 형태: "SESSIONID = 12A345"
3. 클라이언트가 쿠키에 세션ID를 저장 ('세션쿠키')
4. 클라이언트가 서버에 2번 요청
   • 쿠키값 (세션 ID) 포함하여 요청
5. 서버가 세션ID 를 확인하고, 1번 요청과 같은 클라이언트임을 인지

---

세션 다루기

HttpSession을 통해 세션 ID를 간편하게 만들고 사용할 수 있다.

세션 생성

    @GetMapping("/create-session")
    public String createSession(HttpServletRequest req) {
        // 세션이 존재할 경우 세션 반환, 없을 경우 새로운 세션을 생성한 후 반환
        HttpSession session = req.getSession(true);

        // 세션에 저장될 정보 Name - Value 를 추가합니다.
        session.setAttribute(AUTHORIZATION_HEADER, "Robbie Auth");

        return "createSession";
    }

• HttpServletRequest를 사용하여 세션을 생성 및 반환할 수 있다.
• req.getSession(true) : 세션이 존재할 경우 세션을 반환하고 없을 경우 새로운 세션을 생성한다.
• setAttribute(NAME, VALUE) : 세션에 저장할 정보를 NAME-VALUE 형식으로 추가한다.
• 반환된 세션은 브라우저 Cookie 저장소에 ‘JSESSIONID’라는 Name으로 Value에 저장된다.

세션 읽기

    @GetMapping("/get-session")
    public String getSession(HttpServletRequest req) {
        // 세션이 존재할 경우 세션 반환, 없을 경우 null 반환
        HttpSession session = req.getSession(false);

        String value = (String) session.getAttribute(AUTHORIZATION_HEADER); // 가져온 세션에 저장된 Value 를 Name 을 사용하여 가져옵니다.
        System.out.println("value = " + value);

        return "getSession : " + value;
    }

• req.getSession(false) : 세션이 존재하면 세션을 반환하고 없으면 Null을 반환한다.
• getAttribute(NAME) : NAME을 통해 VALUE를 가져온다.