HTTP Stateless

HTTP (HyperText Transfer Protocol)

• TCP/IP 네트워크 아키텍처의 응용 계층(Application Layer)에서 사용하는 프로토콜입니다.

• 클라이언트는 자신이 보내고자 하는 데이터에 Start Line과 Header 등을 붙여 서버에 전송합니다.

Stateless (무상태성)

• "Stateless"란 서버가 클라이언트의 상태(Context)를 보존하지 않는다는 뜻입니다.

• 서버는 클라이언트의 이전 요청이나 로그인 여부를 기억하지 않습니다.

• 이로 인한 장점은 서버의 확장성(Scale-out)이 유리하다는 점입니다. 서버가 상태를 기억하지 않으므로, 어떤 서버가 요청을 처리해도 상관없기 때문입니다.

• 대신, 한 번의 요청에 처리에 필요한 모든 정보를 담아서 보내야 한다는 특징이 있습니다.

  • 한번에 모든 정보를 담아서 요청하기 때문에 특정 서버와의 연결에 "의존"하지 않습니다.

특징

• 본질적으로 HTTP 프로토콜은 "문서(HTML)"를 "전달"하는 것이 목적이었습니다.

• 초기의 HTTP는 단순히 문서를 보여주기만 할 뿐, 클라이언트의 "상태"를 관리하는 기능은 존재하지 않았습니다. 즉, 누가 로그인을 했는지, 이전에 어떤 페이지를 봤는지 서버는 기억하지 않습니다.

• 이처럼 HTTP 자체에는 상태를 저장하는 기능이 없기 때문에, 이를 보완하기 위해 쿠키(Cookie)와 세션(Session) 기술이 등장하게 되었습니다.

쿠키(Cookie)와 연결의 판단

• 쿠키는 Key-Value 형태의 데이터로, 클라이언트와 서버가 통신하는 과정에서 필요한 정보를 클라이언트(브라우저) 쪽에 저장해 두는 수단입니다.

• 서버는 이 쿠키를 통해 요청을 보낸 클라이언트가 누구인지 식별하고, 논리적인 "연결" 상태를 판단하게 됩니다.

REST와 Stateless

REST 아키텍처의 주요 조건 중 하나는 "Stateless(무상태)"입니다. 이 규칙을 지키기 위해 서버는 클라이언트의 어떤 상태도 저장하지 않아야 합니다.

🤔 그럼 쿠키/세션을 사용해서 REST API를 설계하면 이는 Stateful하기 때문에 위배한것인가?

쿠키나 세션을 활용한 인증 정보. 즉, 서버-클라이언트의 상태를 관리하게 되어 Stateless에 어긋난 것인가?

결론적으로, 서버 기반의 세션을 사용하는 것은 REST의 Stateless 원칙을 위배하는 것(Stateful)이 맞는 것 같습니다.

REST의 Stateless 조건은 서버가 클라이언트의 상태(Context)를 보존하지 않아야 한다는 것인데, 세션 방식은 서버의 메모리나 데이터베이스에 "인증 정보"를 저장하고, 이를 통해 연결 상태를 관리하기 때문에 Stateful한 구조가 됩니다.

• HTTP 특징인 stateless는 매번 요청-응답 과정이 끝나면 연결을 끊어버리고 서버에 클라이언트의 상태를 저장하지 않습니다.. 그렇기 때문에 이전 요청에서 클라이언트에서 로그인을 했는지 안했는지 알 방법이 없습니다.

• HTTP의 목적은 문서 전달이지만, 현재는 로그인한 정보를 가지고 동적으로 데이터를 보여주기도 합니다. 여기서 stateless로만 서비스를 제공하기에는 힘들기 때문에 그것을 서포트 해주기 위해 쿠키/세션을 활용하기 시작했습니다.

• 엄밀한 의미에서는 REST 아키텍처의 조건을 완벽히 충족하지 못합니다.

하지만, 단순히 규칙을 지키기 위해 무조건적인 방법을 선택할 필요는 없습니다.

• RESTful:

  • 만약 서버의 확장성(Scale-out)이 최우선이거나 엄격한 REST API를 설계해야 한다면, 상태를 서버에 저장하지 않는 토큰(JWT) 기반 인증을 사용하는 것이 적합합니다.

• 현실적인 타협 (Session):

  • 반면, 보안상의 이유로 서버가 강력한 제어권(즉시 차단 등)을 가져야 하거나 시스템의 단순성이 중요하다면, Stateless 원칙을 일부 포기하더라도 세션 방식을 선택하는 것이 합리적일 수 있습니다.

즉, "세션을 사용하면 REST의 Stateless 특성은 약해지지만, 이는 서비스의 목적과 요구사항에 맞춰 의도적으로 선택한 트레이드오프(Trade-off)"를 고려한 것이라고 볼 수 있겠습니다.