서버가 라우팅할 때 사용하는 경로인데
기본적으로는 /임!

예를들어 Path가 /users로 설정되어있고 실제 요청하는 경로가 /users/login이면

여튼 /users는 만족하기 때문에 쿠키 전송이 가능

• MaxAge or Expires 옵션

> // 지금으로부터 하루 후
let date = new Date(Date.now() + 86400e3);
date = date.toUTCString();
document.cookie = "user=John; expires=" + date;

예를 들어 pc방에서 하루동안 롤 인벤들어가서 로그아웃을 안하고 나왔다..

그러면 서버에서 쿠키에 이 옵션을 주어서 일정 시간 이후 자동 소멸하게 만듦!

• Secure 옵션

>// (https:// 로 통신하고 있다고 가정 중)
// 설정한 쿠키는 HTTPS 통신시에만 접근할 수 있음
document.cookie = "user=John; secure";

true이면 'HTTPS' 프로토콜을 이용하여 통신하는 경우에만 쿠키 전송 가능

-HttpOnly 옵션

기본적으로 false임!

예를 들어 쿠키는 <script> 태그로 접근 가능해 XSS 공격에 취약하기 때문에

HttpOnly 옵션을 이용해 true로 바꿔 <script> 태그 못 쓰게 함

XSS 공격

크로스 사이트 스크립팅(Cross Site Scripting, XSS) :
공격자가 상대방의 브라우저에 스크립트가 실행되도록 해 사용자의 세션을 가로채거나, 웹사이트를 변조하거나, 악의적 콘텐츠를 삽입하거나, 피싱 공격을 진행하는 것을 말합니다.

• SameSite 옵션

  
  

Cross-Origin 요청을 받은 경우 요청에서 사용한 메소드와 해당 옵션의 조합으로 서버의 쿠키 전송 여부를 결정함!

Lax :Cross-Origin 요청이면 'GET' 메소드에 대해서만 쿠키를 전송할 수 있습니다.

Strict : Cross-Origin이 아닌 same-site 인 경우에만 쿠키를 전송 할 수 있습니다.

None: 항상 쿠키를 보내줄 수 있습니다. 다만 쿠키 옵션 중 Secure 옵션이 필요합니다.ㅈ

어떠고 옵션이 많지만 기본적으로

쿠키는 오랜 시간 동안 유지될수있고, JS를 이용해 쿠키에 접근할 수 있기 떄문에

민감한 정보 담지 말자!!

Session

쿠키 인증방식이랑 다른 세션 방식

사용자가 인증에 성공한 상태를 세션이라고 부름!

이때 서버는 사용자가 인증에 성공했음을 알고 있어야 하고

클라이언트는 인증 성공을 증명할 수단을 가지고 있어야 함.

그러면 이제

세션은 서버가 Client에 유일하고 암호화된 ID(세션아이디) 를 부여

중요 데이터는 서버에서 관리

session_id 반환 을 하는데 서버에서 암호화시켜 세션아이디로 저장해 클라이언트에 전달!

그 다음부터는 세션아이디로 필요한 작업을 지속적으로 수행!

만약 로그아웃을 하고 싶다면?

서버의 세션 정보를 삭제하고, 클라이언트 쿠키를 갱신하면 됨!

서버가 클라이언트의 쿠키를 임의로 삭제할 수는 없지만 set-cookie로 세션 아이디의 키값을 무효로 할 수 있음!

근데 이런 세션을 다루려면 귀찮지 않을까? 그래서

express-session

이라는 모듈이 있음. 얘는 미들웨어임