본 내용은 인프런 김영한님의
"스프링 MVC 2편 - 백엔드 웹 개발 활용 기술" 강의 내용을 정리한 것입니다.

 

📕 로그인 처리하기 - 쿠키 사용

📗 로그인 상태 유지하기

  • 서버에서 로그인에 성공하면 HTTP 응답에 쿠키를 담아서 브라우저에 전달
  • 브라우저는 해당 쿠키를 지속적으로 요청에 담음

쿠키 생성

 

클라이언트 쿠키 전달 1

 

클라이언트 쿠키 전달 2

  • 영속 쿠키: 만료 날짜를 입력하면 해당 날짜까지 유지
  • 세션 쿠키: 만료 날짜를 생략하면 브라우저 종료시 까지만 유지

 

📗 쿠키 생성 로직

Cookie idCookie = new Cookie("memberId", String.valueOf(loginMember.getId()));
response.addCookie(idCookie);

로그인에 성공하면 쿠키를 생성하고 HttpServletResponse에 포함

 

📗 로그인 처리

@GetMapping("/")
public String homeLogin(
@CookieValue(name = "memberId", required = false) Long memberId, Model model)
  • @CookieValue를 사용하여 쿠키 조회
  • 로그인하지 않은 사용자도 접근할 수 있도록 required = false

 

📗 로그아웃

세션 쿠키이므로 웹 브라우저 종료시 서버에서 해당 쿠키의 종료 날짜를 0으로 지정

@PostMapping("/logout")
public String logout(HttpServletResponse response) {
    expireCookie(response, "memberId");
    return "redirect:/";
}

private void expireCookie(HttpServletResponse response, String cookieName) {
    Cookie cookie = new Cookie(cookieName, null);
    cookie.setMaxAge(0);
    response.addCookie(cookie);
}

Max-Age=0으로 설정하여 해당 쿠키는 즉시 종료

 

📕 쿠키와 보안 문제

📗 보안 문제

  • 쿠키 값은 임의로 변경할 수 있음
    • 클라이언트가 쿠키를 강제로 변경하면 다른 사용자가 됨
    • Cookie: memberId=1 → Cookie: memberId=2 (다른 사용자의 이름이 보임)
  • 쿠키에 보관된 정보는 훔쳐갈 수 있음
    • 만약 쿠키에 개인정보나, 신용카드 정보가 있다면?
    • 이 정보가 웹 브라우저에도 보관되고, 네트워크 요청마다 계속 클라이언트에서 서버로 전달
  • 해커가 쿠키를 한번 훔쳐가면 평생 사용할 수 있음
    • 해커가 쿠키를 훔쳐가서 그 쿠키로 악의적인 요청을 계속 시도할 수 있음

 

📗 대안

  • 쿠키에 중요한 값을 노출하지 않고, 사용자 별로 예측 불가능한 임의의 토큰(랜덤 값)을 노출하고,
    서버에서 토큰과 사용자 id를 매핑해서 인식, 그리고 서버에서 토큰을 관리
  • 토큰은 해커가 임의의 값을 넣어도 찾을 수 없도록 예상 불가능 해야 함
  • 해커가 토큰을 털어가도 시간이 지나면 사용할 수 없도록 서버에서 해당 토큰의 만료시간을 짧게(예: 30분) 유지
  • 해킹이 의심되는 경우 서버에서 해당 토큰을 강제로 제거

 

📕 로그인 처리하기 - 세션 동작 방식

사용자가 loginId, password 정보를 전달하면 서버에서 해당 사용자가 맞는지 확인

  • 세션 ID를 생성하는데, 추정 불가능해야 함
  • UUID는 추정이 불가능: Cookie: mySessionId=zz0101xx-bab9-4b92-9b32-dadb280f4b61
  • 생성된 세션 ID와 세션에 보관할 값(memberA)을 서버의 세션 저장소에 보관

  • 서버는 클라이언트에 mySessionId 라는 이름으로 세션ID 만 쿠키에 담아서 전달
  • 클라이언트는 쿠키 저장소에 mySessionId 쿠키를 보관
  • 회원과 관련된 정보는 전혀 클라이언트에 전달하지 않음
  • 추정 불가능한 세션 ID만 쿠키를 통해 클라이언트에 전달

클라이언트는 요청시 항상 mySessionId 쿠키를 전달 서버에서는 
클라이언트가 전달한 mySessionId 쿠키 정보로 세션 저장소를 조회해서 로그인시 보관한 세션 정보를 사용

 

📗 세션과 보안 문제

  • 쿠키 값을 변조 가능 → 예상 불가능한 복잡한 세션Id를 사용
  • 쿠키에 보관하는 정보는 클라이언트 해킹시 털릴 가능성 → 세션Id가 털려도 여기에는 중요한 정보가 없음
  • 쿠키 탈취 후 사용 → 해커가 토큰을 털어가도 시간이 지나면 사용할 수 없도록 서버에서 
    세션의 만료시간을 짧게(예: 30분) 유지하거나 해킹이 의심되는 경우 서버에서 해당 세션을 강제로 제거

 

📕 로그인 처리하기 - 세션 직접 만들기

📗 세션 요구 기능

  • 세션 생성
    • sessionId 생성 (임의의 추정 불가능한 랜덤 값)
    • 세션 저장소에 sessionId와 보관할 값 저장
    • sessionId로 응답 쿠키를 생성해서 클라이언트에 전달
  • 세션 조회
    • 클라이언트가 요청한 sessionId 쿠키의 값으로, 세션 저장소에 보관한 값 조회
  • 세션 만료
    • 클라이언트가 요청한 sessionId 쿠키의 값으로, 세션 저장소에 보관한 sessionId와 값 제거

 

📗 SessionManager

@Component
public class SessionManager {
  
    public static final String SESSION_COOKIE_NAME = "mySessionId";
  
    private Map<String, Object> sessionStore = new ConcurrentHashMap<>();
  
    /**
    * 세션 생성
    */
    public void createSession(Object value, HttpServletResponse response) {
      
        //세션 id를 생성하고, 값을 세션에 저장
        String sessionId = UUID.randomUUID().toString();
        sessionStore.put(sessionId, value);
      
        //쿠키 생성
        Cookie mySessionCookie = new Cookie(SESSION_COOKIE_NAME, sessionId);
        response.addCookie(mySessionCookie);
    }
  
    /**
    * 세션 조회
    */
    public Object getSession(HttpServletRequest request) {
        Cookie sessionCookie = findCookie(request, SESSION_COOKIE_NAME);
        if (sessionCookie == null) {
            return null;
        }
        return sessionStore.get(sessionCookie.getValue());
    }
  
    /**
    * 세션 만료
    */
    public void expire(HttpServletRequest request) {
        Cookie sessionCookie = findCookie(request, SESSION_COOKIE_NAME);
        if (sessionCookie != null) {
            sessionStore.remove(sessionCookie.getValue());
        }
    }
  
    private Cookie findCookie(HttpServletRequest request, String cookieName) {
        if (request.getCookies() == null) {
            return null;
        }
        return Arrays.stream(request.getCookies())
            .filter(cookie -> cookie.getName().equals(cookieName))
            .findAny()
            .orElse(null);
    }
}
  • @Component : 스프링 빈으로 자동 등록
  • ConcurrentHashMap: HashMap 대신 동시 요청에 안전한 ConcurrentHashMap 사용

 

📗 SessionManagerTest

class SessionManagerTest {
  
    SessionManager sessionManager = new SessionManager();
  
    @Test
    void sessionTest() {
      
        //세션 생성
        MockHttpServletResponse response = new MockHttpServletResponse(); // response mocking
        Member member = new Member();
        sessionManager.createSession(member, response);
      
        //요청에 응답 쿠키 저장
        MockHttpServletRequest request = new MockHttpServletRequest(); // request mocking
        request.setCookies(response.getCookies());
      
        //세션 조회
        Object result = sessionManager.getSession(request);
        assertThat(result).isEqualTo(member);
      
        //세션 만료
        sessionManager.expire(request);
        Object expired = sessionManager.getSession(request);
        assertThat(expired).isNull();
    }
}

 

📕 로그인 처리하기 - 직접 만든 세션 적용

[LoginController - loginV2()]

@PostMapping("/login")
public String loginV2(@Valid @ModelAttribute LoginForm form, BindingResult bindingResult, HttpServletResponse response) {
    if (bindingResult.hasErrors()) {
        return "login/loginForm";
    }
  
    Member loginMember = loginService.login(form.getLoginId(),     form.getPassword());
    log.info("login? {}", loginMember);
  
    if (loginMember == null) {
        bindingResult.reject("loginFail", "아이디 또는 비밀번호가 맞지 않습니다.");
        return "login/loginForm";
    }
  
    //로그인 성공 처리
    //세션 관리자를 통해 세션을 생성하고, 회원 데이터 보관
    sessionManager.createSession(loginMember, response);
  
    return "redirect:/";
}
  • private final SessionManager sessionManager; 주입
  • sessionManager.createSession(loginMember, response); 로그인 성공시 세션을 등록. 세션에 loginMember를 저장해두고, 쿠키도 함께 발행

 

[LoginController - logoutV2()]

@PostMapping("/logout")
public String logoutV2(HttpServletRequest request) {
    sessionManager.expire(request);
    return "redirect:/";
}

로그 아웃시 해당 세션의 정보를 제거

 

[HomeController - homeLoginV2()]

@GetMapping("/")
public String homeLoginV2(HttpServletRequest request, Model model) {
  
    //세션 관리자에 저장된 회원 정보 조회
    Member member = (Member)sessionManager.getSession(request);
    if (member == null) {
        return "home";
    }
  
    //로그인
    model.addAttribute("member", member);
    return "loginHome";
}
  • private final SessionManager sessionManager; 주입
  • 세션 관리자에서 저장된 회원 정보를 조회
  • 만약 회원 정보가 없으면, 쿠키나 세션이 없는 것이므로 로그인 되지 않은 것으로 처리

 

📕 로그인 처리하기 - 서블릿 HTTP 세션

📗 HttpSession

세션 생성과 조회

public HttpSession getSession(boolean create);

  • request.getSession(true)
    • 세션이 있으면 기존 세션을 반환
    • 세션이 없으면 새로운 세션을 생성해서 반환
  • request.getSession(false)
    • 세션이 있으면 기존 세션을 반환
    • 세션이 없으면 새로운 세션을 생성하지 않고 null 을 반환
  • request.getSession(): 신규 세션을 생성하는 request.getSession(true)와 동일

 

세션에 로그인 회원 정보 보관 

session.setAttribute(SessionConst.LOGIN_MEMBER, loginMember); 

세션에 데이터를 보관하는 방법은 request.setAttribute(..) 와 유사 하나의 세션에 여러 값을 저장할 수 있음

 

📗 @SessionAttribute

스프링에서 이미 로그인 된 사용자를 찾을 때는 다음과 같이 사용 이 기능은 세션을 생성하지않음

@SessionAttribute(name = "loginMember", required = false) Member loginMember

 

TrackingModes

  • 서버 입장에서 웹 브라우저가 쿠키를 지원하는지 하지 않는지 최초에는 판단하지 못하므로,
    쿠키 값도 전달하고, URL에 jsessionid도 함께 전달
  • 타임리프 같은 템플릿은 엔진을 통해서 링크를 걸면 jsessionid를 URL에 자동으로 포함
  • URL 전달 방식을 끄고 항상 쿠키를 통해서만 세션을 유지하고 싶으면 아래와 같이 설정

[application.properties]

server.servlet.session.tracking-modes=cookie

 

📕 세션 정보와 타임아웃 설정

📗 세션 정보

  • sessionId : 세션Id, JSESSIONID의 값 예) 34B14F008AA3527C9F8ED620EFD7A4E1
  • maxInactiveInterval : 세션의 유효 시간, 예) 1800초, (30분)
  • creationTime : 세션 생성일시
  • lastAccessedTime : 세션과 연결된 사용자가 최근에 서버에 접근한 시간, 클라이언트에서 서버로 sessionId( JSESSIONID )를 요청한 경우에 갱신
  • isNew : 새로 생성된 세션인지, 아니면 이미 과거에 만들어졌고, 클라이언트에서 서버로 sessionId ( JSESSIONID )를 요청해서 조회된 세션인지 여부

 

📗 세션 타임아웃 설정

  • 세션은 사용자가 로그아웃을 직접 호출해서 session.invalidate()가 호출 되는 경우에 삭제
  • 그러나 대부분의 사용자는 로그아웃을 선택하지 않고, 그냥 웹 브라우저를 종료
  • HTTP는 비연결성(ConnectionLess)이므로 서버 입장에서는 해당 사용자가 웹 브라우저를 종료한 것인지 아닌지를 인식할 수 없음
  • 이 경우 남아있는 세션을 무한정 보관하면 다음과 같은 문제가 발생
    • 세션과 관련된 쿠키( JSESSIONID )를 탈취 당했을 경우 오랜 시간이 지나도 해당 쿠키로 악의적인 요청 가능
    • 세션은 기본적으로 메모리에 생성되므로 메모리의 크기가 무한하지 않기 때문에 꼭 필요한 경우만 생성해서 사용해야 함

 

스프링 부트로 글로벌 설정

[application.properties]

server.servlet.session.timeout=60 // 기본 1800초

 

특정 세션 단위로 시간 설정

session.setMaxInactiveInterval(1800); //1800초

 

📗 세션의 종료 시점

  • 세션 생성 시점으로부터 30분
    • 30분이 지나면 세션이 삭제되기 때문에 30분 마다 계속 로그인해야 하는 번거로움이 발생
  • 더 나은 대안은 세션 생성 시점이 아니라 사용자가 서버에 최근에 요청한 시간을 기준으로 30분 정도를 유지해주는 것
    • HttpSession은 이 방식을 사용

 

📗 세션 타임아웃 발생

  • 세션의 타임아웃 시간은 해당 세션과 관련된 JSESSIONID를 전달하는 HTTP 요청이 있으면 현재 시간으로 다시 초기화
  • 이렇게 초기화 되면 세션 타임아웃으로 설정한 시간동안 세션을 추가로 사용할 수 있음
  • session.getLastAccessedTime() : 최근 세션 접근 시간
  • LastAccessedTime 이후로 timeout 시간이 지나면, WAS가 내부에서 해당 세션을 제거

 

 

저작자표시

티스토리툴바