로그인·세션·인증 기초

인증과 인가의 차이, 비밀번호 해시 저장, 세션과 쿠키, 그리고 HTTPS·서버측 권한 검증의 필요성을 익힙니다.

🧑‍🏫

멘토 한마디

여기까지 온 것만으로도 이미 어제의 나보다 한 뼘 자랐어요. 끝까지 함께 가요! 🌱

로그인은 거의 모든 서비스의 출입문입니다. 그런데 인증을 어설프게 만들면 가장 먼저 뚫리는 곳이기도 합니다. 이번 챕터에서는 '내가 누구인지' 확인하고 그 상태를 안전하게 유지하는 기본 개념을 잡습니다.

인증과 인가는 다르다

핵심 로그인했다고(인증) 모든 권한이 생기는 건 아닙니다(인가). 둘은 별개이며, 권한 검사는 요청마다 서버에서 따로 해야 합니다.

비밀번호를 평문(그대로)으로 저장하면, 데이터베이스가 유출되는 순간 모든 사용자의 비밀번호가 노출됩니다. 그래서 비밀번호는 해시(hash)로 바꿔 저장합니다. 해시는 되돌릴 수 없는 일방향 변환입니다.

// 저장할 때: 해시로 변환
$hash = password_hash($input, PASSWORD_DEFAULT);

// 로그인 검증: 입력과 저장된 해시 비교
if (password_verify($input, $hash)) { /* 통과 */ }

좋은 비밀번호 해시(bcrypt 등)는 일부러 느리고, 사용자마다 다른 무작위 값(소금, salt)을 섞습니다. 그래서 같은 비밀번호라도 저장된 해시는 사람마다 다릅니다.

HTTP는 요청마다 서로를 기억하지 못합니다. 그래서 로그인 후에는 '이 사람은 방금 로그인한 그 사람'임을 이어줄 장치가 필요합니다. 대표적인 방법이 세션(session)입니다.

옵션	역할
HttpOnly	자바스크립트가 쿠키를 못 읽게 해 XSS로부터 보호
Secure	HTTPS 연결에서만 쿠키 전송
SameSite	다른 사이트發 요청에 쿠키가 함부로 실리지 않게(CSRF 완화)

주의 로그인·인증 정보는 반드시 HTTPS에서 주고받아야 합니다. 평문(HTTP)으로 보내면 중간에서 비밀번호·세션을 가로챌 수 있습니다. 또한 '관리자만 가능'한 동작은 화면에서 숨기는 것으로 끝내지 말고, 서버가 요청마다 권한을 다시 확인해야 합니다.

정리하면, 인증으로 누구인지 확인하고, 비밀번호는 해시로 저장하고, 세션·쿠키로 상태를 잇되 옵션으로 보호하며, 권한은 서버에서 매번 검사합니다. 이 기본만 지켜도 흔한 사고의 대부분을 피할 수 있습니다.