Session cookie 세션 쿠키

세션 쿠키는 브라우저가 서버와의 세션 상태를 연결하는 데 사용하는 쿠키입니다.

세션 식별자를 담는 쿠키와 만료 시각이 없어 브라우저 세션 동안 보관되는 쿠키라는 표현은 문맥에 따라 다를 수 있습니다. 이름보다 서버가 해당 값을 어떤 인증 상태에 연결하는지 확인해야 합니다.

로그인 후 받은 식별자를 브라우저가 이후 요청에 첨부하고 서버가 유효한 세션인지 확인하는 경우입니다.

Secure는 보호된 연결에서의 전송, HttpOnly는 스크립트의 쿠키 읽기 제한, SameSite는 사이트 간 요청에서의 전송 조건에 관련됩니다. 각 속성은 서로 다른 문제를 다룹니다.

브라우저를 닫았다고 서버 세션이 반드시 폐기되지는 않습니다. 쿠키 범위, 서버 만료와 로그아웃 및 탈취 뒤 회수 조건을 함께 관리합니다.

이 절의 용어: HttpOnly / 스크립트 접근을 제한하는 쿠키 속성

HttpOnly는 브라우저 스크립트가 해당 쿠키 값을 직접 읽지 못하게 하는 속성입니다. 브라우저의 정상 요청에 쿠키가 첨부되는 것까지 막는 기능은 아닙니다. XSS가 발생하면 쿠키를 읽지 못하더라도 사용자 문맥의 요청 등 다른 피해가 가능할 수 있습니다.

이 절의 용어: Secure cookie attribute / 보호 연결 전송 쿠키 속성

Secure 쿠키 속성은 쿠키를 보호된 연결로 전송하도록 제한하는 데 사용합니다. 쿠키 내용 자체를 암호화하거나 서버에 저장된 세션을 보호하는 기능과는 다릅니다. HTTPS와 쿠키 범위, HttpOnly 및 실제 브라우저 동작을 함께 확인합니다.

이 절의 용어: SameSite / 사이트 간 쿠키 전송 조건

SameSite는 사이트 간 요청에서 쿠키를 보낼 조건을 정하는 속성입니다. Strict, Lax와 None은 전송 조건이 다르며 None 사용에는 Secure 등 브라우저 요구를 확인해야 합니다. 사이트와 출처는 같은 정의가 아니고 CSRF 방어 전체를 대신하지도 않습니다.