Session 세션

세션은 여러 요청을 하나의 사용자 또는 상호작용 상태와 연결해 유지하는 논리적 단위입니다.

로그인 이후 세션 식별자나 토큰을 통해 매번 비밀번호를 입력하지 않고 상태를 이어갈 수 있습니다. 서버는 해당 상태의 유효성과 권한을 요청마다 확인해야 합니다.

업무 사이트 로그인 뒤 여러 화면을 이동해도 사용자 상태가 유지되는 것은 세션 관리의 한 예입니다.

서버가 상태를 저장하는 세션과 토큰을 검증하는 방식은 관리 구조가 다릅니다. 인증 세션, 브라우저 쿠키와 TCP 연결도 서로 같은 개념이 아닙니다.

세션 식별자를 빼앗기면 비밀번호를 몰라도 사용자를 사칭할 수 있습니다. 로그인 시 식별자 갱신, 만료, 로그아웃과 중요 작업의 재인증 조건을 함께 설계해야 합니다.