요청에서 인증된 principal을 읽어 내는 코어를 HTTP·저장소 어댑터와 분리합니다.
서버 세션은 브라우저가 가진 불투명한 식별자를 서버 상태와 연결하는 인증 방식입니다. 식별자에는 사용자 정보를 담지 않습니다. 전송 보호·만료·회전·폐기를 서버가 한곳에서 통제하므로, 토큰이 노출되면 그 자리에서 세션을 끝낼 수 있습니다.
추측하기 어려운 세션 ID만 클라이언트에 주고, 권한과 사용자 정보는 서버 저장소에 둡니다.
Secure, HttpOnly, SameSite 속성과 좁게 잡은 domain·path로 스크립트 접근과 불필요한 전송을 줄입니다.
권한이 올라가거나 인증을 갱신할 때 식별자를 바꾸고, 로그아웃하거나 위험을 감지하면 바로 폐기합니다.
아래 증명은 글로 된 설명이 아닙니다. 버튼을 누르면 이 서버가 지금 직접 계산합니다.
기본값부터 안전해야 합니다. HttpOnly로 스크립트 접근을, Secure로 평문 전송을 막고, __Host- 접두사로 하위 도메인이 쿠키를 심지 못하게 합니다.
표준 문서에 실린 테스트 벡터를 그대로 넣어 같은 값이 나오는지 확인합니다.
보안 속성을 빼는 구성은 조용히 허용하지 않습니다. 잘못 만든 쿠키를 내보내느니 아예 만들지 못하는 편이 낫습니다.
막아야 할 입력을 실제로 넣고 거부되는지 확인합니다.
규격 원문을 먼저 실었습니다. 사례는 이 분야에서 실제로 보안이 뚫린 일을 다룬 자료입니다.
__Host- 접두사와 SameSite 규칙의 근거입니다.
세션 고정, 회전, 만료를 다루는 실무 기준입니다.
다음 단계
소비 시스템의 요청 경계에 cookie resolver를 연결하고, 동시 회전과 정리 작업을 부하 상황에서 검증합니다.