쿠키 vs 세션

학습 목표

⚠️ 두 도구가 비슷해 보인다

🛠️ 두 도구 — 한 줄 정의

🛠️ 두 도구의 모습

손님이 들고 가느냐 / 가게가 보관하느냐

식당에 비유하면 — 쿠키는 「영수증」(손님 호주머니에 들어감), 세션은 「손목 도장」(가게 보관함의 열쇠).

🛠️ 영수증 vs 손목 도장 — 동작

한눈에 비교

중요 — 세션도 쿠키를 쓴다

서버:  Set-Cookie: JSESSIONID=abc123xyz...
브라우저:  Cookie: JSESSIONID=abc123xyz... (자동 동봉)

흐름 비교 — 로그인 처리

의사결정 기준 — 무엇을 어디에

핵심 의사결정 한 줄

코드 비교 — Spring 에서

// 쿠키로 다크모드 저장
@PostMapping("/setting/theme")
public String setTheme(@RequestParam String theme,
                        HttpServletResponse resp) {
    Cookie c = new Cookie("theme", theme);
    c.setMaxAge(60 * 60 * 24 * 30);     // 30 일
    c.setPath("/");
    resp.addCookie(c);
    return "redirect:/";
}

// 세션으로 로그인 정보 저장
@PostMapping("/login")
public String login(String userId, String password, HttpSession session) {
    Member m = service.login(userId, password);
    if (m != null) {
        session.setAttribute("loginUser", m);
        return "redirect:/";
    }
    return "redirect:/login?error";
}

F12 로 직접 확인

쿠키 보기: F12 → Application → Cookies → 도메인 선택

세션 ID 가 매 요청에 동봉됨: F12 → Network → 한 요청 → Headers → Request Headers → Cookie 줄

쿠키 옵션 — 보안 강화

👉 JSESSIONID 는 보통 HttpOnly 자동 적용 (Spring 기본).

세션의 한계 — 알아둘 것

👉 본 과정의 학습용 환경에서는 단일 서버 가정. 위 한계는 후속 과정에서.

현대 웹의 흐름 — JWT

실험 — 세션 vs 쿠키 직접 비교

1. 로그인 후 F12 → Application → Cookies 에서 JSESSIONID 확인
2. JSESSIONID 값을 변경 (인스펙터에서 직접 편집)
3. 새로고침 → 로그인 풀림 (세션 키가 안 맞아서)
4. 반대로 — 쿠키로 직접 사용자 정보 저장 시도 (userId=admin)
5. 변조해도 서버가 무시 — 세션이 진짜 정보 보관자이기 때문

본 과정의 결정

🔄 Before / After

📊 한 그림 정리

이번 차시의 데이터 흐름

정리

다음: ★ v3 안전한 회원가입/로그인 — BCrypt + 세션 도입.