JWT vs 쿠키를 위한 토큰 기반 인증

JWT vs Cookie에 대해 일부 게시물을 읽어보았지만 오히려 더 혼란스러워지기만 했습니다...

1. 사람들이 토큰 기반 인증 vs 쿠키에 대해 이야기할 때, 여기서 쿠키란 단지 세션 쿠키를 의미합니까? 제 이해는 쿠키는 매체와 같다는 것이고, 토큰 기반 인증(클라이언트 측에서 로그인 한 사용자를 식별 할 수있는 것을 저장하는 것) 또는 세션 기반 인증(서버 측에서 세션 정보와 일치하는 클라이언트 측에 상수를 저장)을 구현하는 데 사용될 수 있다는 것입니다.




2. 왜 JSON 웹 토큰이 필요한가요? 토큰 기반 인증을 구현하기 위해 표준 쿠키를 사용하고 있었는데 (세션 ID를 사용하지 않으며, 서버 메모리나 파일 저장소를 사용하지 않음): Set-Cookie: user=innocent; preferred-color=azure, 관찰한 유일한 차이점은 JWT에는 페이로드와 서명이 함께 포함되어 있다는 것입니다... 반면 http 헤더의 경우 서명 또는 평문 쿠키를 선택할 수 있습니다. 제 의견으로는 서명된 쿠키(cookie:'time=s%3A1464743488946.WvSJxbCspOG3aiGi4zCMMR9yBdvS%2B6Ob2f3OG6%2FYCJM')가 공간 효율적입니다. 단점은 클라이언트가 토큰을 읽을 수 없고, 서버 만 읽을 수 있다는 것입니다... 그러나 토큰이 의미가 있어야 하는 것은 아니므로, JWT에서의 클레임과 마찬가지입니다.

답변 1

웹 사이트 https://www.example.com에서 인증된 사용자가 사용자 이름이나 이전 비밀번호를 게시하지 않고 새 비밀번호를 POST하여 비밀번호를 변경할 수 있다고 가정해 봅시다. 이를 위해 https://www.example.com/changepassword로 전송합니다.

여전히 해당 웹 사이트에 로그인되어 있는 상태에서 악성 웹 사이트를 방문하면 브라우저에서 해당 주소로 POST를 트리거하는 페이지를 로드하게 됩니다. 이때 브라우저는 충실하게 인증 쿠키를 첨부하여 공격자가 비밀번호를 변경할 수 있게 합니다.

쿠키는 웹 서비스를 보호하는 데 사용될 수도 있지만, 요즘은 주로 베어러 토큰이 사용됩니다. 웹 서비스를 보호하기 위해 쿠키를 사용한다면, 해당 서비스는 인증 쿠키가 설정된 도메인에서 실행되어야 합니다. 왜냐하면 동일 출처 정책은 다른 도메인으로 쿠키를 전송하지 않기 때문입니다.

또한 쿠키는 모바일에서 테블릿 앱과 같이 브라우저 기반이 아닌 응용 프로그램이 API를 소비하는 것을 더 어렵게 만듭니다.

답변 2

JWT 대 쿠키: 토큰 기반 인증에 대한 SEO 경쟁력 있는 한국어 에세이
요즘 웹 및 앱 개발에서 사용되는 토큰 기반 인증은 사용자 인증 및 접근 제어에 필수적인 요소입니다. 토큰 기반 인증 방법 중에서 JWT(Json Web Token)과 쿠키(Cookie)는 가장 많이 사용되는 방법입니다. 이번 에세이에서는 JWT와 쿠키를 비교하여 토큰 기반 인증 방식의 SEO(Search Engine Optimization)에 대해 알아보려고 합니다.
우선, JWT의 장점과 단점에 대해 살펴보겠습니다. JWT는 클라이언트와 서버 간의 상태를 저장하기 위해 텍스트 기반 토큰을 사용합니다. 이는 서버에서 사용자의 인증 정보를 보관할 필요 없이 토큰의 유효성을 검증할 수 있다는 장점이 있습니다. 또한, JWT는 클라이언트의 요청마다 토큰을 함께 전송하여 서버의 부하를 줄일 수 있습니다. 이러한 이점들은 SEO에 유리하게 작용할 수 있습니다. 먼저, 토큰 기반으로 동작하기 때문에 세션 기반의 쿠키를 사용하는 것보다 더욱 안전하다고 할 수 있습니다. 모바일 기기나 단일 페이지 애플리케이션(SPAs)에서 특히 잘 동작하여 사용자 경험을 향상시킬 수 있습니다. 또한, 클라이언트의 요청마다 토큰을 전송하므로 서버 측에서는 추가적인 상태 관리 등의 부담이 감소합니다. 이는 서버의 응답 속도를 향상시켜 검색 엔진 최적화에 도움이 될 수 있습니다.
반면에, 쿠키는 클라이언트의 로컬 스토리지에 텍스트 기반의 작은 데이터를 저장하는 방식입니다. 쿠키는 브라우저가 서버로 요청을 보낼 때마다 자동으로 전송되어 사용자의 인증 정보를 유지합니다. 이는 서버에서 세션을 관리하고 인증 상태를 유지하기 위한 상태 관리 비용이 크게 줄어든다는 장점이 있습니다. 또한, 쿠키는 대부분의 브라우저가 지원하고 있으므로 호환성에 큰 문제가 없습니다. 하지만 쿠키는 클라이언트의 요청마다 자동으로 전송되므로 트래픽 부담이 발생할 수 있습니다. 이는 서버의 응답 속도에 영향을 줄 수 있으며, 이는 다시 검색 엔진의 결과 순위에도 영향을 미칠 수 있습니다.
결론적으로, JWT와 쿠키는 모두 토큰 기반 인증 방식이지만 각각의 특징을 고려해야 합니다. JWT는 보안 및 클라이언트 요청마다 상태 관리 부담을 줄이는 장점을 가지며, 쿠키는 브라우저 호환성과 서버의 인증 상태 유지를 보장하는 장점을 가지고 있습니다. 따라서, 개발자는 어떤 방식이 자신의 프로젝트에 가장 적합한지를 고려하여 선택해야 합니다. SEO를 고려한다면 JWT가 세션 기반 쿠키를 사용하는 것보다 더욱 안전하고, 서버의 응답 속도를 향상시킬 수 있다는 점을 염두에 두어야 합니다.