3월 7일 금요일: 11장 6.7-6.10챕터 스터디

[choiseona]

유미라: link
윤태연: link
최선아: link

[ssum1ra]

쿠키를 단계적으로 설정하는 이유?

[ssum1ra]

1. 보안 강화 → 임시 쿠키 먼저 발급해서 CSRF 방지
2. OAuth 로그인 처리 → 쿠키 차단 정책 우회
3. 로드 밸런싱 → 특정 서버와의 연결 유지
4. 브라우저 정책 우회 → Safari 같은 쿠키 제한 회피

[ssum1ra]

캐시를 다루는 기본 원칙

• 캐시되지 말아야 할 문서가 있다면 표시하라
  • 문서의 소유자(즉, 웹 서버)가 문서를 캐시할지 여부를 결정한다.
  • Set-Cookie 헤더는 캐시에서 제외할 수 있으며, no-cache=Set-Cookie를 통해 명시적으로 설정할 수 있다.
  • Cache-Control: public을 사용하면 문서를 모든 사용자에게 캐시할 수 있어 대역폭을 절약할 수 있다.
• Set-Cookie 헤더를 캐시 하는 것에 유의하라
  • Set-Cookie 헤더가 포함된 응답을 캐싱할 때는 특별한 주의가 필요하다.
  • 캐시된 Set-Cookie 헤더를 여러 사용자에게 제공하면 사용자 추적이 실패할 수 있고, 일부 캐시는 이 헤더를 제거하여 클라이언트에게 전달하지 않는 문제가 발생할 수 있다.
  • 캐시가 모든 요청마다 원 서버와 재검사시켜 클라이언트로 가는 응답에 Set-Cookie 헤더 값을 기술해서 이 문제를 개선할 수 있다.
  • 보수적인 캐시는 Set-Cookie 헤더가 있는 응답을 아예 캐시하지 않거나 콘텐츠 유형에 따라 선택적으로 캐시하기도 한다.
• Cookie 헤더를 가지고 있는 요청을 주의하라
  • Cookie 헤더가 포함된 요청은 개인정보를 담은 응답을 받을 가능성이 있으므로 주의해야 한다.
  • 개인정보는 캐시되지 않도록 표시되어야 하지만, 모든 서버가 이를 준수하지는 않는다.
  • 보수적인 캐시는 Cookie 헤더가 포함된 요청에 대한 응답을 아예 캐시하지 않거나, 콘텐츠 유형에 따라 선택적으로 캐시한다.
  • 효율적인 방법은 캐시된 이미지에 파기 시간이 0인 Cookie 헤더를 설정하여 매번 재검사를 강제하는 것이다.

Q. 파기 시간이 0이라면 쿠키를 쓰는 이유가 있나?

[rhino-ty]

쿠키의 파기 시간(expiration time)이 0이더라도 사용하는 데는 중요한 이유가 있습니다.

이 맥락에서 파기 시간이 0인 쿠키는 일반적인 데이터 저장 목적이 아니라 캐시 제어 메커니즘으로 활용됩니다. 주요 목적은 다음과 같습니다:

강제 재검사(Forced Revalidation)

• 파기 시간이 0인 쿠키가 포함된 요청은 브라우저나 프록시 캐시가 매번 원 서버에 재검사를 수행하도록 강제합니다.
• 이는 내용이 자주 변경되거나 개인화된 이미지와 같은 리소스에 특히 유용합니다.

동적 콘텐츠 처리

• 대부분의 캐시는 Cookie 헤더가 있는 요청을 "개인화된 요청"으로 인식하고 특별히 처리합니다.
• 캐시는 이러한 요청에 대해 보수적으로 행동하여 원 서버에 확인하거나 캐싱을 완전히 건너뛰게 됩니다.

선택적 캐시 무효화

• 전체 페이지를 캐시하지 않도록 설정하는 대신, 특정 요소(예: 이미지)만 항상 최신 버전을 가져오도록 할 수 있습니다.
• 이는 일부 콘텐츠는 캐시하고 다른 콘텐츠는 항상 최신 상태로 유지하는 더 세밀한 캐시 제어를 가능하게 합니다.

즉, 파기 시간이 0인 쿠키는 실제로 데이터를 저장하기 위한 것이 아니라, 캐시 동작을 조작하여 특정 상황에서 항상 최신 콘텐츠를 보장하기 위한 기술적 방법입니다.

[rhino-ty]

실제로 일어나는 과정

• 쿠키 설정: 서버가 파기 시간이 0인 쿠키를 Set-Cookie 헤더를 통해 브라우저에 전송합니다.
• 쿠키 저장과 전송: 브라우저는 이 쿠키를 저장하고, 해당 도메인에 대한 이후 요청에 Cookie 헤더에 포함시킵니다.
• 캐시의 특별 처리: 여기서 핵심은 재검사되는 것은 쿠키가 아니라 요청된 리소스입니다.
  • 브라우저나 프록시 캐시는 Cookie 헤더가 있는 요청을 볼 때 "이 요청은 개인화된 콘텐츠를 원할 수 있다"고 인식합니다.
  • 따라서 캐시된 리소스를 바로 제공하지 않고, 원 서버에 "이 리소스가 여전히 최신인가요?"라고 확인(재검사)합니다.

즉, 쿠키는 단지 "이 리소스는 매번 서버에 확인해야 해!"라고 알려주는 신호로 작동합니다. 쿠키 자체가 재검사되는 것이 아니라, 쿠키가 있는 요청에 대한 응답 리소스(이미지, 웹페이지 등)가 재검사되는 것입니다.