로그인 시스템의 비밀: 세션/쿠키 방식과 JWT 토큰 방식의 핵심 차이점

우리가 네이버나 구글 같은 웹사이트에 한 번 로그인하고 나면, 다른 페이지로 이동하거나 새로고침을 해도 로그인이 유지된 채 서비스를 이용할 수 있습니다. 인터넷 통신의 기본 규약인 HTTP 프로토콜은 본래 상태를 유지하지 않는 '스테이트리스(Stateless)' 특성을 가집니다. 즉, 서버는 사용자의 이전 요청을 전혀 기억하지 못하기 때문에 페이지를 이동할 때마다 매번 다시 로그인해야 하는 것이 원칙입니다. 이러한 불편함을 해결하고 사용자의 로그인 상태를 안전하게 유지하기 위해 개발된 대표적인 두 가지 인증 방식이 바로 '세션/쿠키'와 'JWT 토큰'입니다. 본 글에서는 두 방식의 작동 원리와 결정적인 차이점을 비교해 보겠습니다.

1. 전통적인 인증의 강자, 세션(Session) / 쿠키(Cookie) 방식

세션/쿠키 방식은 서버가 사용자의 로그인 상태(상태 정보)를 직접 관리하는 전통적이고 가장 안정적인 방식입니다.

• 작동 원리: 사용자가 아이디와 비밀번호를 입력해 로그인에 성공하면, 서버는 메모리나 데이터베이스(DB)에 해당 사용자의 고유한 '세션 ID'를 생성하고 저장합니다. 그리고 이 세션 ID를 클라이언트(브라우저)에게 보내줍니다. 브라우저는 이를 브라우저의 저장소인 '쿠키(Cookie)'에 보관합니다. 이후 사용자가 다른 페이지를 요청할 때마다 브라우저가 알아서 쿠키에 담긴 세션 ID를 서버에 함께 보냅니다. 서버는 자신이 가진 세션 목록에서 해당 ID를 조회하여 유효한 사용자인지 확인합니다.
• 장점: 모든 주도권을 서버가 쥐고 있습니다. 만약 특정 사용자의 계정이 해킹당했거나 강제 로그아웃이 필요하다면, 서버에서 해당 세션을 삭제(만료)해 버리면 되므로 보안 관리가 매우 강력합니다.
• 단점: 사용자가 많아질수록 서버 메모리나 DB의 부담이 커집니다. 또한, 서버를 여러 대 두고 운영하는 대규모 서비스의 경우, 모든 서버가 세션 정보를 공유해야 하므로 인프라 구조가 복잡해집니다.

2. 현대 클라우드와 MSA의 선택, JWT(JSON Web Token) 방식

JWT(자바스크립트 오브젝트 노테이션 웹 토큰)는 서버가 상태를 보관하지 않는 '스테이트리스(Stateless)' 기반의 현대적인 인증 방식입니다.

• 작동 원리: 사용자가 로그인에 성공하면, 서버는 사용자의 회원 번호나 권한 등의 정보를 담은 비밀문서인 '토큰(Token)'을 발행합니다. 이때 토큰이 위조되지 않았음을 증명하기 위해 서버만 아는 비밀키로 서명(Signature)을 합니다. 서버는 이 토큰을 클라이언트에게 던져주고 자신은 깨끗하게 잊어버립니다. 클라이언트는 이 토큰을 보관하고 있다가 요청할 때마다 헤더(Authorization)에 실어서 보냅니다. 서버는 토큰을 받으면 자신이 가진 비밀키로 서명이 올바른지만 검증하고, 문제가 없다면 곧바로 요청을 승인합니다. [1]
• 장점: 서버는 사용자 상태를 저장할 필요가 전혀 없으므로 메모리 부담이 제로에 가깝습니다. 특히 앞서 다룬 마이크로서비스 아키텍처(MSA)나 다수의 서버로 구성된 분산 클라우드 환경에서 서버 간 데이터 공유 없이도 독립적인 인증이 가능하여 확장성이 매우 뛰어납니다.
• 단점: 토큰 자체가 하나의 완성된 인증서이기 때문에, 이미 발행된 토큰은 유효기간이 만료될 때까지 서버가 강제로 회수하거나 무효화하기 어렵습니다. 또한 토큰 내부의 데이터는 암호화되지 않고 인코딩만 되어 있으므로, 민감한 개인정보를 토큰에 담으면 안 된다는 제약이 있습니다.

3. 세션과 JWT의 결정적 차이점 분석

두 방식의 핵심 차이는 "인증의 신뢰 기반을 어디에 두는가"에 있습니다.

첫째, 저장 공간의 주체입니다. 세션 방식은 중요 정보(세션 데이터)를 서버에 저장하고 클라이언트에게는 껍데기(ID)만 줍니다. 반면 JWT 방식은 중요 정보(사용자 권한 등)를 클라이언트가 가진 토큰 내부에 직접 들고 다닙니다.

둘째, 확장성과 비용입니다. 서버 1대로 운영하는 소규모 서비스나 강력한 보안 제어가 필요한 사내 시스템은 세션 방식이 유리합니다. 하지만 수백만 명이 동시 접속하여 서버를 수시로 늘리고 줄여야 하는 대형 글로벌 서비스나 모바일 앱 연동 환경에서는 무거운 세션 서버보다 가볍고 유연한 JWT 방식이 훨씬 경제적입니다.

4. 결론: 하이브리드 전략을 통한 보완

최근의 웹 서비스들은 JWT의 치명적인 단점인 '탈취 시 제어 불가능' 문제를 해결하기 위해 두 방식을 혼합한 하이브리드 전략을 사용합니다. 유효기간이 30분 정도로 매우 짧은 Access Token(JWT)과, 유효기간이 2주 정도로 길며 서버 DB에 저장되는 Refresh Token(세션 방식과 유사)을 함께 발행하는 것입니다. 이를 통해 평소에는 JWT의 빠른 성능과 확장성을 누리면서도, 보안 위협이 발생했을 때는 서버가 Refresh Token을 차단하여 안전성을 확보합니다. 비즈니스의 규모와 보안 요구사항을 명확히 분석하여 최적의 로그인 아키텍처를 설계하는 안목이 필요합니다.