인증과 인가란?
로그인·세션·토큰 차이

사용자가 누구이며 어떤 작업을 할 수 있는지 안전하게 확인합니다.

인증은 무엇인가요?

인증(authentication)은 사용자가 누구인지 확인하는 과정이고 인가(authorization)는 확인된 사용자가 특정 행동을 할 수 있는지 판단하는 과정입니다.

로그인 화면이 있다고 보안이 완성되는 것은 아닙니다. 모든 서버 경로에서 세션과 권한을 다시 확인하고 토큰과 비밀정보의 수명과 저장 위치를 관리해야 합니다.

도구 이름보다 각 요소가 맡는 책임과 서로 연결되는 방식을 먼저 이해하는 것이 좋습니다.

서버가 로그인 상태를 보관하고 브라우저는 식별 쿠키를 전달합니다.

정해진 범위와 만료 시간을 가진 자격 정보를 요청과 함께 전달합니다.

비밀번호를 직접 공유하지 않고 외부 제공자의 인증과 권한 위임을 사용합니다.

역할뿐 아니라 리소스의 소유자와 작업 조건을 서버에서 확인합니다.

한 제품을 완성할 때는 한 가지 도구가 아니라 역할이 다른 여러 기술을 조합합니다.

Secure·HttpOnly·SameSite 쿠키

OAuth 2.0·OpenID Connect·WebAuthn

MFA·Passkeys·Rate limiting

세션 폐기·감사 로그·키 교체

JWT가 세션보다 더 안전한가요?

형식만으로 안전성이 결정되지는 않습니다. 저장 위치, 만료, 폐기, 키 관리와 서비스 구조에 맞는 선택이 중요합니다.

소셜 로그인을 쓰면 인증 보안을 신경 쓰지 않아도 되나요?

외부 제공자가 신원 확인 일부를 맡지만 콜백 검증, 계정 연결, 세션 관리와 서비스 내부 권한은 직접 안전하게 구현해야 합니다.