Web

[WEB] CORS란? (+ Spring Security CORS설정)

[WEB] CORS란? (+ Spring Security CORS설정)

[WEB] HTTP 인증 (Basic, Bearer)

[WEB] HTTP 인증 (Basic, Bearer)

[WEB] Session - JWT 정리

[WEB] Session - JWT 정리

개인 프로젝트로 JWT로그인을 구현하던 도중, 서버에서 JWT 토큰을 발급하고 헤더에 담아서 프론트로 전달한 뒤 response에서 확인이 되지 않는 이슈가 있어서 해당 문제를 해결하면서 학습한 내용을 정리하려고 한다.

CORS란?

SOP

일단 CORS에 대해서 알기 전에 SOP에 대해서 알아야 한다. SOP(Same-Origin Policy)는 동일 Origin에 대해서만 자원공유를 허용한다는 브라우저 보안 정책이다. URL을 구성하는 protocal과 host, port를 모두 합한 것을 Origin 이라고 부른다. 그리고 Origin을 구성하는 요소들 중 하나라도 다른 경우 다른 Origin으로 인식된다.

한가지 상황을 가정해보자 한 대의 서버에서 리액트를 기동하여 웹 접속 후 동일 서버에서 기동중인 서버로 요청을 보내는 상황이다. 당연히 포트만 변경되어서 아래와 같이 프로세스가 돌아가고 있을 것이고 이 두개의 프로세스는 다른 Origin이다. 그러면 SOP 정책에 의해서 정상적으로 요청이 가지 않을 것이다.

(서버끼리 통신은 가능하지만 웹 접속을 한 뒤 서버로 요청을 보내는 경우이다. SOP는 브라우저 보안 정책임을 생각하자.)

위와 같은 에러는 개발하는 사람이라면 어쩌다가 한번쯤 마주쳐봤을 에러일 것이다. 저기서 중요한 점은 CORS error라고 적혀있어서 cors 때문에 뭐가 에러가 났나보다~ 라고 생각할 수 있지만 실제로는 SOP 정책때문에 발생된 에러고 저 에러를 해결하려면 서버에서 CORS관련한 설정을 해주어야 한다.

CORS

[WEB] CORS란? (+ Spring Security CORS설정)

웹 개발을 하면서 사용자 인증 방식을 구현하는 방법에는 크게 session을 이용한 방법과 jwt를 이용한 두가지 방법이 있다. (쿠키는..제외..)

전통적으로 session을 이용한 사용자 인증 방식을 많이 사용했지만 내가 운영하는 서비스나 서버 상태에 따라서 사용자 인증을 session을 사용할지 JWT를 사용할지는 각각의 장단점이 확실히 존재하기에 잘 고민해봐야 하는 부분인 것 같다.

Session

이미지에서처럼 세션 인증 방식은 사용자의 인증 정보를 서버에서 직접 관리를 하게 된다.

이렇게 서버에서 직접 관리하기 때문에 보안성은 높지만 사용량이 많아질수록 서버의 부하가 많이 갈 수 있다는 단점이 있다.

그렇지만 비교적 간단하게 구현할 수 있고, 강제 로그아웃 처리가 쉽다는 장점이 존재한다.

또한 Scale-out으로 서버 여러 대가 존재할 시 세션을 공유해야 하는 작업이 추가된다. 이에 경우에는 세션을 사용한 인증 방식보다는 JWT를 사용하는 방식이 더 효율적일 것이다.

 Scale-out 이란?
한 대의 서버로 운영되던 서비스가 점차 크기가 확장돼서 한 대의 서버로 운영이 힘들다고 판단이 되면, 정상적인 운영을 위해 서버의 사양을 높이던가 서버를 증설해서 여러 대를 두어야 한다.

JWT (Json Web Token)

[WEB] Session - JWT 정리

HTTP 통신에서는 특정 리소스에 대한 접근을 제한해야 할 때가 있다. 예를 들어, 내가 작성한 게시글은 나만 수정할 수 있어야 하며, 다른 사용자는 접근할 수 없어야 한다.

이를 위해 클라이언트는 서버에 인증된 사용자임을 증명해야 하며, 서버는 해당 사용자가 요청한 리소스에 접근할 권한이 있는지 검증 해야 한다.

이때 사용되는 것이 Authorization 헤더이며, 형식은 다음과 같다

서버에서는 들어간 헤더의 값에 따라 서버는 적절한 응답 코드를 반환한다.

 적절한 인증 정보가 들어갔을 경우: 201 OK

인증 헤더가 누락 되었을 경우: 401 Unauthorized

인증 헤더는 있지만 권한이 없는 사용자라면: 403 Forbidden 

Credential에 들어갈 인증 정보는 type에 따라서 달라지는데 type은 basic, bearer 두 가지가 존재한다.

basic

[WEB] HTTP 인증 (Basic, Bearer)