내가 이해가 안되는건 토큰 방식의 세션 유지는 어떻게 해서라도 클라이언트에 토큰 값을 저장해야 하는 구조일텐데

쿠키 그 자체를 탈취해버리면 세션 하이제킹은 너무 손쉽게 일어나잖아?

세션 하이제킹 막으려고 짧은 토큰 유효기간, 리프래시 토큰 등등의 방안이 있는거로 아는데

그럼 서비스 순서 짤 때 항상 토큰 유효성 검사 요청을 보내도록 하는게 맞는지 이해가 안됨

검증 요청하는거 자체만으로 서버 세션쿠키 구조보다 더 많은 리소스를 요구할 텐데 대규모 서비스를 하는 경우라면 리소스 낭비가 너무 심하지 않나 싶은데

ㅇㅎ... 그렇구만 부하 그 자체를 보는게 아니라 효율성을 보고 그렇게 구조를 짠다는거구만

부하에 너무 무게를 두지 않아도 되는구나