로그인은 되는데 JavaScript에서 세션 쿠키가 안 보이는 이유
브라우저가 쿠키를 요청에 보낼 수 있어도 Document.cookie에서 보이지 않을 수 있습니다. HttpOnly가 설정됐다면 이를 실패로 보고 보호 옵션을 제거하지 않습니다. 쿠키 저장 여부와 스크립트 접근 가능 여부는 다른 질문입니다.
먼저 기억할 핵심
- HttpOnly 쿠키는 JavaScript 읽기를 제한합니다
- 저장·전송 조건을 개발자 도구에서 확인합니다
- 앱 상태 확인은 서버의 인증 결과로 설계합니다
HttpOnly 쿠키는 JavaScript 읽기를 제한합니다
브라우저가 쿠키를 요청에 보낼 수 있어도 Document.cookie에서 보이지 않을 수 있습니다. HttpOnly가 설정됐다면 이를 실패로 보고 보호 옵션을 제거하지 않습니다. 쿠키 저장 여부와 스크립트 접근 가능 여부는 다른 질문입니다.
저장·전송 조건을 개발자 도구에서 확인합니다
Domain·Path·Secure·SameSite 등 실제 속성과 대상 요청을 비교합니다. 로그인 응답에 Set-Cookie가 있다는 것만으로 이후 모든 요청에 전송되는 것은 아닙니다. 세션 값을 화면이나 공개 오류 기록에 출력하지 않습니다.
앱 상태 확인은 서버의 인증 결과로 설계합니다
프런트엔드가 쿠키 본문을 직접 읽어야만 로그인 여부를 알 수 있다고 가정하지 않습니다. 인증된 API 응답을 이용하는 흐름을 검토합니다. HttpOnly는 모든 공격을 해결하는 단일 수단이 아니므로 세션 보호와 요청 검증도 별도로 유지합니다.
서버 운영 실행 전 점검표
- HttpOnly 쿠키는 JavaScript 읽기를 제한합니다
- 저장·전송 조건을 개발자 도구에서 확인합니다
- 앱 상태 확인은 서버의 인증 결과로 설계합니다
이 가이드의 근거 문서
출처 확인일: 2026-11-04. 공식 문서에 기반한 편집 가이드이며 직접 수행한 벤치마크가 아닙니다. 비용 사례는 명시된 가정에 한합니다.
오류 제보 방법