제목이 거창하다 ㅋㅋㅋㅋㅋ
session을 활용하여 인증 시스템을 구축하려고 한다.
session이란?
-session은 저번에 쓰려다가 쓰지 못한 기능이다.
(네 그렇습니다 약 2달전에 session을 쓰려다가 쓰지 못했습니다. 하하) 장난이고,
session은 cookie와 같이 사용자를 인증하는 방식입니다.
사용자를 인증하는 방식은 auth1.0, 2.0방식으로 나뉩니다.
1.0방식은 복잡하지만 안전, 2.0방식은 간단하지만 1.0보다 불안전하다고 합니다.(더 자세한 내용은 다음번에)
Session vs Cookies
이 둘의 차이점은 크게 저장 되는 지역이 다릅니다.
session은 서버의 메모리에 저장.
cookie는 클라이언트의 로컬 저장소에 저장이 됩니다. 그렇다면 이를 확인해 보자.
아주 간단하게 f12를 통해 확인이 가능하다.
또한 쿠키는 header객체 안에 cookies 라는 놈이 전송을 하게된다.
1
2
3
|
console.log(res.header.cookies);
| cs |
쿠키는 클라이언트 로컬 저장소에 저장이 되기 때문에 이렇게 확인이 가능하다.
머 암튼 이런식으로 뜬다.
이것들은 쿠키가 되겠다. 이러한 쿠키들은 노출이 될 수 있다. 특히 Cross Site Script 공격을 통해서도 쉽게 노출이 가능하다.
만약 인증 쿠키가 노출 된다면, 해커는 이 쿠키를 통해 인증이 가능하다.
session은 서버측에서만 저장을 하고 있기 때문에 cookies 보다는 안전하다고 생각한다.(뭔가 이것도 우회하는 방식이 있겠지 ㅋㅋㅋ 항상 100% 안전한 방식은 없다고 생각한다.)
그렇다면 node.js에서는 session을 어떻게 구현하는지 알아보자.
모듈설치
npm install cookie-parser --save
npm install express-session --save
모듈선언
var cookieParser = require('cookie-parser');
var session = require('express-session');
이렇게 설치 및 선언을 했으니 미들웨어에 추가를 해주자.
app.use(cookieParser("3CCC4ACD-6ED1-4844-9217-82131BDCB239"));
app.use(session({secret:"2C44774A-D649-4D44-9535-46E296EF984F"}));
여기서 express의 4.x와 3.x 버전에 따라 약간의 사용법이 다르다.위와 같은 방법이 되자 않으면
app.use(express.cookieParser("3CCC4ACD-6ED1-4844-9217-82131BDCB239"));
app.use(exress.session({secret:"2C44774A-D649-4D44-9535-46E296EF984F"}));
과같이 수정을 하도록 하자.
session은 cookie를 이용하기 때문에 cookieParser 아래에 선언이 되야한다.
이렇게 하면 모든 준비가 끝이 났다.
1
2
3
4
5
6
7
8
9
10
11
12
13
|
control.get('/',function(req,res){
req.session.name='a';
res.end();
});
control.get('/a',function(req,res){
console.log(req.session.name);
res.end();
});
control.get('/d',function(req,res){
req.session.destory();
});
| cs |
3개의 경우를 만들어 보자.
첫번째 경우
/절대 경로로 접속
session.name에 값을 저장
두번째 경우
/a 경로로 접속
session값 출력
세번째 경우
/d 경로로 접속
session 삭제
3개의 경우에서 테스트를 해보겠다.
이때 중점적인 테스트 방향은 2개의 다른 디바이스에서 접속하는 경우이다.
PC를 통해 접속
초기에 /를 접속하여 session을 만들어 주고 /a를 통해 session을 출력해 주었다.
모바일 접속
/a 경로를 통해 접속을 한 결과 undefined가 뜨게 된다.
이렇게 기기에 따라 session정보를 각기 다르게 저장을 하게된다.
session 정보 삭제
이거 먼거 destory가 잘 안먹는 경우가 있다 이럴땐 약간의 가라를 이용하여 res.session.name=""; 이런식으로 그냥 없애버리자 ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ
destory()가 cookie만 없애주나? ㅋㅋㅋㅋ
댓글
댓글 쓰기