웹 인증 세션

웹 인증 세션은 여러 HTTP 요청을 같은 로그인 문맥으로 연결하도록 서버가 유지하는 상태다. 흔한 구조는 서버가 session 식별값을 cookie로 발급하고, 서버에 요청을 보내고 응답을 처리하는 브라우저나 WebView가 적용 범위에 맞는 요청에 그 cookie를 보내며, 서버가 식별값에 대응하는 현재 사용자와 권한을 확인하는 방식이다.

웹 session은 네이티브 API access token과 같은 값일 필요가 없다. 두 값의 대상 서버, 수명, 폐기 방법을 분리하면 WebView가 필요한 웹 권한만 가지면서 네이티브 token의 노출 범위를 넓히지 않을 수 있다.