[작성일: 2023. 09. 09]

 

HTTP 헤더 개요

1999년 RFC2616이 등장했지만 폐기되고, 2014년 RFC7230~7235가 등장했다. 

RFC732x가 등장하며 변화한 것을 알아보자.

 

  • 엔티티(Entity) ➡️ 표현(Repressentation)
  • Repressentation = representation Metadata + Representation Data
  • 표현 = 표현 메타데이터 + 표현 데이터

 

출처: 김영한님

 

  • 메시지 본문(message body)을 통해 표현 데이터를 전달한다.
  • 메시지 본문 = 페이로드(payload)
  • 표현은 요청이나 응답에서 전달할 실제 데이터를 의미한다.
  • 표현 헤더는 표현 데이터를 해석할 수 있는 정보를 제공한다.
    • 데이터 유형(html, json), 데이터 길이, 압축정보 등

 

 

 

 

 

표현

  • Content-Type: 표현 데이터의 형식
  • Content-Encoding: 표현 데이터의 압축 방식
  • Content-Language: 표현 데이터의 자연 언어
  • Content-Length: 표현 데이터의 길이
  • 표현 헤더는 전송, 응답을 둘 다 사용할 수 있다.

 

 

 

Content-Type

  • 표현 데이터의 형식을 설명한다.
  • 미디어 타입, 문자 인코딩
    • text/html; charset=utf-8
    • application/json
    • image/png

 

 

 

Content-Encoding

  • 표현 데이터 인코딩을 의미한다.
  • 표현 데이터를 압축할 때 많이 사용한다.
  • 데이터를 전달하는 곳에서 압축 후 인코딩 헤더를 추가한다.
  • 데이터를 읽는 쪽에서 인코딩 헤더의 정보로 압축 해제한다.
    • gzip
    • deflate
    • identity

 

 

 

Content-Language

  • 표현 데이터의 자연 언어를 표현한다.
    • ko
    • en
    • en-US

 

 

 

Content-Length

  • 표현 데이터의 길이를 의미하며 단위는 바이트이다.
  • Transfer-Encoding(전송 코딩)을 사용하면 Content-Length를 사용하면 안 된다.

 

 

 

 

 

콘텐츠 협상(콘텐츠 네고시에이션)

  • 클라이언트가 선호하는 표현 요청
    • Accept: 클라이언트가 선호하는 미디어 타입을 전달한다.
    • Accept-Charset: 클라이언트가 선호하는 문자 인코딩을 의미한다.
    • Accept-Encoding: 클라이언트가 선호하는 압축 인코딩을 의미한다.
    • Accept-Language: 클라이언트가 선호하는 자연 언어를 의미한다.
  • 협상 헤더는 요청 시에만 사용한다.

 

출처: 김영한님

 

그런데 서버의 기본 언어가 독일어이고, 클라이언트가 ko을 요청했을 경우를 생각해 보자.

서버에서는 클라이언트가 요청하는 ko가 없기 때문에 기본 언어인 독일어를 보내게 된다.

 

이럴 경우를 위해 우선순위가 필요하다.

 

 

 

협상과 우선순위 1

 

출처: 김영한님

 

  • Quality values(q) 값을 사용한다.
  • 0부터 1 사이를 사용하면 되며 숫자가 클수록 우선순위가 높고, 생략할 경우 1이 된다.
    1. ko-KR;q=1 (q생략)
    2. ko;q=0.9
    3. en-US;q=0.8
    4. en;q=0.7

 

 

 

 

협상과 우선순위 2

출처: 김영한님

 

  • 구체적인 것이 우선한다.
    1. text/plain;format=flowed
    2. text/plain
    3. text/*
    4. */*

 

 

 

 

협상과 우선순위 3

  • 구체적인 것을 기준으로 미디어 타입을 맞춘다.
  • Accept: text/*;q=0.3, text/html;q=0.7, text/html;level=1, text/html;level=2;q=0.4, */*;q=0.5
    1. text/html;level=1
    2. text/html
    3. text/plain (예시에선 plain이 없기 때문에 text/*에 맞게 우선순위 0.3이 된다.)
    4. image/jpeg (*/*에 속한다.)
    5. text/html;level=2
    6. text/html;level=3 (level=3은 없기 때문에 우선순위 0.7에 속한다.)

 

 

 

 

 

전송 방식

  • 단순 전송: Content-Length에 대한 길이를 알고 있을 때 사용한다. 한 번에 요청하고 한 번에 받는다.
  • 압축 전송: Content-Encoding를 추가로 넣어주어야 한다.
  • 분할 전송: Transfer-Encoding를 사용해서 분할 전송한다. 분할 전송 시에는 Content-Length를 보내면 안 된다.
  • 법위 전송: range, Content-range 범위를 지정해서 전송한다.

 

 

 

 

 

일반 정보

  • From
    • 유저 에이전트의 이메일 정보
    • 일반적으로 잘 사용되지 않으며 검색 엔진 같은 곳에서 사용한다.
    • 요청에서 사용한다.
  • Referer
    • 현재 요청된 페이지의 이전 웹 페이지 주소
    • A에서 B로 이동하는 경우 B를 요청할 때 referer: A를 포함해서 요청한다.
    • Referer를 사용해서 유입 경로 분석이 가능하다.
    • 요청에서 사용한다.
    • 참고: referer은 단어 referrer의 오타이다.
  • User-Agent
    • 유저 에이전트 애플리케이션 정보
    • user-agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.0.0 Safari/537.36
    • 클라이언트의 애플리케이션 정보(웹 브라우저 정보 등)
    • 통계 정보
    • 어떤 종류의 브라우저에서 장애가 발생하는지 파악이 가능하다.
    • 요청에서 사용한다.
  • Server
    • 요청을 처리하는 ORIGIN 서버의 소프트웨어 정보
    • Server: Apache/2.2.22 (Debian)
    • 응답에서 사용한다.
  • Date
    • 메시지가 발생한 날짜와 시간
    • Tue, 29 Aug 2023 22:09:07 GMT
    • 응답에서 사용한다.

 

 

 

 

 

특별한 정보

  • Host
    • 요청한 호스트 정보(도메인)
    • 필수값이며 요청에서 사용한다.
    • 하나의 서버가 여러 도메인을 처리해야 할 때 사용한다.
    • 하나의 IP 주소에 여러 도메인이 적용되어 있을 때 사용한다.
    • Host: aaa.com
  • Location
    • 페이지 리다이렉션
    • 웹 브라우저는 3xx 응답의 결과에 Location 헤더가 있으면 Location 위치로 자동 이동한다.(리다이렉트)
    • 201 (Created) : Location 값은 요청에 의해 생성된 리소스 URI
    • 3xx (Redirection) : Location 값은 요청을 자동으로 리디렉션 하기 위한 대상 리소스를 가리킨다.
  • Allow
    • 허용 가능한 HTTP 메서드
    • 405 (Method Not Allowed)에서 응답에 포함해야 한다.
    • Allow: GET, HEAD, PUT
  • Retry-After
    • 유저 에이전트가 다음 요청을 하기까지 기다려야 하는 시간
    • 503 (Service Unavailable) : 서비스가 언제까지 불능인지 알려줄 수 있다.
    • Rerty-After: Tue, 29 Aug 2023 22:09:07 GMT (날짜 표기)
    • Retry-After: 120 (초 단위 표기)

 

 

 

 

 

인증

  • Authorization
    • 클라이언트 인증 정보를 서버에 전달한다.
    • Authorization: Basic xxxxxxxxxxxxxxxx
  • WWW-Authenticate
    • 리소스 접근 시 필요한 인증 방법을 정의한다.
    • 401 Unauthorized 응답과 함께 사용한다.
    • WWW-Authenticate: Newauth realm="apps", type=1, title="Login to \"apps\"", Basic realm="simple"

 

 

 

 

 

쿠키

  • Set-Cookie: 서버에서 클라이언트로 쿠키 전달(응답)
  • Cookie: 클라이언트가 서버에서 받은 쿠키를 저장하고 HTTP 요청 시 서버로 전달

 

HTTP는 기본적으로 무상태(Stateless) 프로토콜이다. 클라이언트와 서버가 요청과 응답을 주고받고 나면 연결이 끊어진다. 클라이언트가 다시 요청하면 서버는 이전 요청을 기억하지 못한다.

 

그럼 로그인 시 어떻게 해야 할까? 모든 요청에 사용자 정보를 포함하면 될까? 그렇게 되면 모든 요청에 사용자 정보가 포함되도록 개발해야 한다. 이걸 해결하기 위해 쿠키라는 개념이 도입되었다.

 

출처: 김영한님

 

 

웹 브라우저가 POST로 로그인을 하면 서버는 Set-Cookie에 데이터를 넣어서 응답을 하고, 웹 브라우저의 내부에 있는 쿠키 저장소에 정보(Set-Cookie)를 저장한다. 

 

로그인 이후 welcome 페이지에 접근하면 웹 브라우저는 쿠키 저장소에서 쿠키를 꺼내 Cookie 헤더를 만들어서 요청한다.

쿠키는 모든 요청에 쿠키 정보를 자동으로 포함한다. 하지만 모든 곳에 쿠키를 보내면 여러 가지 문제들이 있다. 이걸 제약하는 방법을 알아보자.

 

  • set-cookie: sessionId=abcde1234; expires=Sat, 29-Aug-2023 00:00:00 GMT; path=/; domain=.google.com; Secure
  • 사용처: 사용자 로그인 세션 관리, 광고 정보 트래킹
  • 쿠키 정보는 항상 서버에 전송된다.
    • 네트워크 트래픽 추가 유발
    • 최소한의 정보만 사용(세션 ID, 인증 토큰)
    • 서버에 전송하지 않고 웹 브라우저 내부에 데이터를 저장하고 싶으면 웹 스토리지(localStorage, sessionStorage)를 참고한다.
  • 보안에 민감한 데이터는 저장해선 안 된다.(주민등록번호, 신용카드 번호 등)

 

 

 

쿠키 - 생명주기

  • Expires, max-age
  • Set-Cookie: expires=Sat, 29-Aug-2023 00:00:00 GMT
    • 만료일이 되면 쿠키는 자동 삭제된다.
  • Set-Cookie: max-age=3600
    • 3600초
    • 0이나 음수를 지정하면 쿠키가 삭제된다.
  • 세션 쿠키: 만료 날짜를 생략하면 브라우저 종료 시까지만 유지된다.
  • 영속 쿠키: 만료 날짜를 입력하면 해당 날짜까지만 유지된다.

 

 

 

쿠키 - 도메인

  • domain=example.org
  • 명시: 명시한 문서 기준 도메인 + 서브 도메인을 포함해서 전송한다.
    • domain=example.org을 지정해서 쿠키를 생성하게 되면 example.org는 물론이고 dev.example.org에도 쿠키 접근이 가능하다.
  • 생략: 현재 문서 기준 도메인만 적용된다.
    • example.org에서 쿠키를 생성하고 domain 지정을 생략하면 example.org에서만 쿠키 접근이 가능하고 dev.example.org에서는 쿠키 접근이 불가능하다.

 

 

 

쿠키 - 경로

  • 경로를 포함한 하위 경로 페이지에서만 쿠키 접근이 가능하다.
  • 일반적으로는 path=/ 루트로 지정한다.
  • path=/home으로 경로를 지정할 경우,
    • /home ➡️ 쿠키 접근 가능
    • /home/level1 ➡️ 쿠키 접근 가능
    • /home/level1/level2 ➡️ 쿠키 접근 가능
    • /hello ➡️ 쿠키 접근 불가능

 

 

 

쿠키 - 보안

  • Secure
    • 쿠키는 http, https를 구분하지 않고 전송한다.
    • Secure를 적용하면 https인 경우에만 쿠키를 전송한다.
  • HttpOnly
    • XSS 공격을 방지하기 위해 사용한다.
    • 자바스크립트에서는 접근이 불가능하다.(document.cookie)
    • HTTP 전송에서만 사용한다.
  • SameSite
    • XSRF 공격을 방지하기 위해 사용한다.
    • 요청 도메인과 쿠키에 설정된 도메인이 같은 경우에만 쿠키를 전송한다.

 

 

 

 

 

 

 

 

 

 

🐣 출처: 인프런 김영한님 강의

 

이 글은 인프런의 김영한님 HTTP 웹 강의를 보고 작성한 글입니다.

강의를 들으면서 정리한 글이므로 틀린 내용이나 오타가 있을 수 있습니다.

 

저작자표시 비영리 변경금지

티스토리툴바