1. 핵심 개념 복습

• 로그인 과정 사용자가 웹사이트나 서비스에 접근하기 위해 본인임을 인증하는 과정. 일반적으로 사용자 ID와 비밀번호를 통해 이루어집니다.
• 인증(Authentication) 사용자가 “누구인지” 확인하는 과정. 사용자 ID와 비밀번호 등을 통해 본인임을 증명하는 절차입니다.
• 인가(Authorization) 인증된 사용자가 특정 리소스나 기능에 접근할 권한이 있는지 확인하는 과정. 로그인 상태에서 게시물 작성, 댓글 작성 등 특정 활동을 할 수 있는지 여부를 결정합니다.
• 세션(Session) 사용자가 로그인 상태를 유지하기 위해 서버가 사용자의 상태 정보를 기억하는 전통적인 방식. 서버는 각 사용자에게 고유한 세션 ID를 발급하고, 이 ID를 통해 사용자를 식별하며 상태를 관리합니다.
• 세션 ID 서버가 사용자의 세션을 식별하기 위해 발급하는 고유한 값. 일반적으로 쿠키를 통해 사용자의 브라우저에 저장됩니다.
• 쿠키(Cookie) 웹사이트가 사용자의 브라우저에 저장하는 작은 데이터 조각. 세션 ID, 사용자 선호 설정 등을 저장하는 데 사용됩니다.
• 상태 유지(Stateful) 서버가 각 사용자의 상태(로그인 여부 등)를 기억하고 관리하는 방식. 세션 방식이 대표적인 예입니다.
• 무상태(Stateless) 서버가 각 사용자의 상태를 기억하지 않고, 각 요청마다 필요한 모든 정보를 클라이언트로부터 받는 방식. JWT 방식이 대표적인 예입니다.
• JWT (JSON Web Token) 무상태 기반의 인가 방식에 사용되는 토큰. 사용자에 대한 정보를 JSON 형식으로 담고 있으며, 디지털 서명을 통해 위변조를 방지합니다.
• 토큰(Token) 사용자 인증 또는 인가에 사용되는 데이터 조각. JWT 방식에서는 사용자 정보와 서명이 포함된 문자열 형태입니다.
• 클레임(Claim) JWT 토큰에 담기는 사용자 관련 정보(예: 사용자 닉네임, 관리자 여부, 만료 시간 등).
• JWT 구조 JWT는 일반적으로 헤더(Header), 페이로드(Payload), 서명(Signature) 세 부분으로 구성되며, 각 부분은 마침표(.)로 구분됩니다.
  • 헤더(Header)
    • 토큰의 타입(JWT) 및 서명 생성에 사용된 알고리즘 정보(예: HS256, RS256 등)를 포함.
  • 페이로드(Payload)
    • 클레임(사용자 정보 및 토큰 관련 정보)이 포함.
    • Base64로 인코딩되어 누구나 내용을 확인할 수 있지만, 수정하면 서명이 일치하지 않게 됩니다.
  • 서명(Signature)
    • 헤더와 페이로드, 그리고 서버만 알고 있는 비밀 키를 이용해 생성된 값.
    • 토큰의 위변조 여부를 확인하는 데 사용.
• 엑세스 토큰(Access Token) 실제 서비스 기능에 접근할 때 사용하는, 짧은 유효 기간을 가진 토큰.
• 리프레시 토큰(Refresh Token) 엑세스 토큰의 유효 기간이 만료되었을 때 새 엑세스 토큰을 발급받기 위해 사용하는, 상대적으로 긴 유효 기간을 가진 토큰.

2. 세션 vs. JWT 비교

3. JWT 처리 흐름 (일반적인 방식)