'스프링 MVC 2편 - 백엔드 웹 개발 활용 기술' 수업을 듣고 정리한 내용입니다.

 

📚 1. 로그인 처리하기 - 세션 동작 방식

🔔 목표

• 앞서 쿠키에 중요한 정보를 보관하는 방법은 여러가지 보안 이슈가 있었다.
• 이 문제를 해결하려면 결국 중요한 정보를 모두 서버에 저장해야 한다.
• 그리고 클라이언트와 서버는 추정 불가능한 임의의 식별자 값으로 연결해야 한다.
• 이렇게 서버에 중요한 정보를 보관하고 연결을 유지하는 방법을 세션이라 한다.

 

📖 A. 세션 동작 방식

• 세션을 어떻게 개발할지 개념을 이해해보자❗️

 

로그인

• 사용자가 loginId , password 정보를 전달하면 서버에서 해당 사용자가 맞는지 확인한다.

 

세션 생성

• 세션 ID를 생성하는데, 추정 불가능해야 한다.
• UUID는 추정이 불가능하다.
  • Cookie: mySessionId=zz0101xx-bab9-4b92-9b32-dadb280f4b61
• 생성된 세션 ID와 세션에 보관할 값( memberA )을 서버의 세션 저장소에 보관한다.

 

세션id를 응답 쿠키로 전달

클라이언트와 서버는 결국 쿠키로 연결이 되어야 한다.

• 서버는 클라이언트에 mySessionId 라는 이름으로 세션ID 만 쿠키에 담아서 전달한다.
• 클라이언트는 쿠키 저장소에 mySessionId 쿠키를 보관한다.

 

🔔 중요

• 여기서 중요한 포인트는 회원과 관련된 정보는 전혀 클라이언트에 전달하지 않는다는 것이다.
• 오직 추정 불가능한 세션 ID만 쿠키를 통해 클라이언트에 전달한다.

 

클라이언트의 세션id 쿠키 전달

• 클라이언트는 요청시 항상 mySessionId 쿠키를 전달한다.
• 서버에서는 클라이언트가 전달한 mySessionId 쿠키 정보로 세션 저장소를 조회해서 로그인시 보관한 세션 정보를 사용한다.

 

📌 정리
세션을 사용해서 서버에서 중요한 정보를 관리하게 되었다. 덕분에 다음과 같은 보안 문제들을 해결할 수 있다.

• 쿠키 값을 변조 가능
  ➡️ 예상 불가능한 복잡한 세션Id를 사용한다.
• 쿠키에 보관하는 정보는 클라이언트 해킹시 털릴 가능성이 있다.
  ➡️ 세션Id가 털려도 여기에는 중요한 정보가 없다.
• 쿠키 탈취 후 사용
  ➡️ 해커가 토큰을 털어가도 시간이 지나면 사용할 수 없도록 서버에서 세션의 만료시간을 짧게(예: 30분) 유지한다. 또는 해킹이 의심되는 경우 서버에서 해당 세션을 강제로 제거하면 된다.

 

📚 2. 로그인 처리하기 - 세션 직접 만들기

세션을 직접 개발해서 적용해보자!

 

🔔 세션 관리
(1) 세션 생성

• sessionId 생성 (임의의 추정 불가능한 랜덤 값)
• 세션 저장소에 sessionId와 보관할 값 저장
• sessionId로 응답 쿠키를 생성해서 클라이언트에 전달

(2) 세션 조회

• 클라이언트가 요청한 sessionId 쿠키의 값으로, 세션 저장소에 보관한 값 조회

(3) 세션 만료
클라이언트가 요청한 sessionId 쿠키의 값으로, 세션 저장소에 보관한 sessionId와 값 제거

 

SessionManager - 세션 관리

package hello.login.web.session;

import org.springframework.stereotype.Component;

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.util.Arrays;
import java.util.Map;
import java.util.UUID;
import java.util.concurrent.ConcurrentHashMap;

@Component
public class SessionManager {

    private static final String SESSION_COOKIE_NAME = "mysessionId";
    private Map<String, Object> sessionStore = new ConcurrentHashMap<>();

    /**
     * 세션 생성
     */
    public void createSession(Object value, HttpServletResponse response) {

        // 세션 id를 생성하고, 값을 세션에 저장
        String sessionId = UUID.randomUUID().toString();
        sessionStore.put(sessionId, value);


        // 쿠키 생성
        Cookie mySessionCookie = new Cookie(SESSION_COOKIE_NAME, sessionId);
        response.addCookie(mySessionCookie);
    }

    /**
     * 세션 조회
     */
    public Object getSession(HttpServletRequest request) {
        Cookie sessionCookie = findCookie(request, SESSION_COOKIE_NAME);
        if (sessionCookie == null) {
            return null;
        }

        return sessionStore.get(sessionCookie.getValue());
    }

    /**
     * 세션 만료
     */
    public void expire(HttpServletRequest request) {
        Cookie sessionCookie = findCookie(request, SESSION_COOKIE_NAME);
        if (sessionCookie != null) {
            sessionStore.remove(sessionCookie.getValue());
        }
    }

    public Cookie findCookie(HttpServletRequest request, String cookieName) {

        if (request.getCookies() == null) {
            return null;
        }
        return Arrays.stream(request.getCookies())
                .filter(cookie -> cookie.getName().equals(cookieName))
                .findAny()
                .orElse(null);
    }

}

• @Component : 스프링 빈으로 자동 등록한다.
• ConcurrentHashMap : HashMap 은 동시 요청에 안전하지 않다. 동시 요청에 안전한 ConcurrentHashMap 를 사용했다.

 

SessionManagerTest - 테스트

package hello.login.web.session;

import hello.login.domain.member.Member;
import org.junit.jupiter.api.Assertions;
import org.junit.jupiter.api.Test;
import org.springframework.mock.web.MockHttpServletRequest;
import org.springframework.mock.web.MockHttpServletResponse;

import javax.servlet.http.HttpServletResponse;

import static org.assertj.core.api.Assertions.*;
import static org.junit.jupiter.api.Assertions.*;

class SessionManagerTest {

    SessionManager sessionManager = new SessionManager();

    @Test
    void sessionTest() {

        // 세션 생성
        MockHttpServletResponse response = new MockHttpServletResponse();
        Member member = new Member();
        sessionManager.createSession(member, response);

        // 요청에 응답 쿠키 저장
        MockHttpServletRequest request = new MockHttpServletRequest();
        request.setCookies(response.getCookies());  // mySessionId

        // 세션 조회
        Object result = sessionManager.getSession(request);
        assertThat(result).isEqualTo(member);


        // 세션 만료
        sessionManager.expire(request);
        Object expired = sessionManager.getSession(request);
        assertThat(expired).isNull();
    }
}

• HttpServletRequest , HttpservletResponse 객체를 직접 사용할 수 없기 때문에 테스트에서 비슷한 역할을 해주는 가짜 MockHttpServletRequest , MockHttpServletResponse 를 사용했다.

 

실행 결과

 

📚 3. 로그인 처리하기 - 직접 만든 세션 적용

지금까지 개발한 세션 관리 기능을 실제 웹 애플리케이션에 적용해보자.

 

LoginController - loginV2()

    @PostMapping("/login")
    public String loginV2(@Valid @ModelAttribute LoginForm form, BindingResult bindingResult, HttpServletResponse response) {
        if (bindingResult.hasErrors()) {
            return "login/loginForm";
        }

        Member loginMember = loginService.login(form.getLoginId(), form.getPassword());

        if (loginMember == null) {
            bindingResult.reject("loginFail", "아이디 또는 비밀번호가 맞지 않습니다.");
            return "login/loginForm";
        }

        //로그인 성공 처리

        // 세션 관리자를 통해 세션을 생성하고, 회원 데이터 보관
        sessionManager.createSession(loginMember, response);

        return "redirect:/";

    }

• private final SessionManager sessionManager; 주입
• sessionManager.createSession(loginMember, response); : 로그인 성공시 세션을 등록한다. 세션에 loginMember 를 저장해두고, 쿠키도 함께 발행한다.

 

LoginController - logoutV2()

    @PostMapping("/logout")
    public String logoutV2(HttpServletRequest request) {
        sessionManager.expire(request);
        return "redirect:/";
    }

• 로그 아웃시 해당 세션의 정보를 제거한다.

 

HomeController - homeLoginV2()

    @GetMapping("/")
    public String homeLoginV2(HttpServletRequest request, Model model) {

        // 세션 관리자에 저장된 회원 정보 조회
        Member member = (Member)sessionManager.getSession(request);


        //로그인
        if (member == null) {
            return "home";
        }

        model.addAttribute("member", member);
        return "loginHome";
    }

 

실행 결과

• 세션 관리자에서 저장된 회원 정보를 조회한다. 만약 회원 정보가 없으면, 쿠키나 세션이 없는 것 이므로 로그인 되지 않은 것으로 처리한다.
• 로그인 할 때마다 다른 Value가 저장된다.

 

📌 정리

• 이번 시간에는 세션과 쿠키의 개념을 명확하게 이해하기 위해서 직접 만들어보았다.
• 사실 세션이라는 것이 뭔가 특별한 것이 아니라 단지 쿠키를 사용하는데, 서버에서 데이터를 유지하는 방법일 뿐이라는 것을 이해했을 것이다.
• 그런데 프로젝트마다 이러한 세션 개념을 직접 개발하는 것은 상당히 불편할 것이다. 그래서 서블릿도 세션 개념을 지원한다.
• 이제 직접 만드는 세션 말고, 서블릿이 공식 지원하는 세션을 알아보자.
• 서블릿이 공식 지원하는 세션은 우리가 직접 만든 세션과 동작 방식이 거의 같다.
• 추가로 세션을 일정시간 사용하지 않으면 해당 세션을 삭제하는 기능을 제공한다.

 

📚 4. 로그인 처리하기 - 서블릿 HTTP 세션1

• 세션이라는 개념은 대부분의 웹 애플리케이션에 필요한 것이다. 어쩌면 웹이 등장하면서 부터 나온 문제이다.
• 서블릿은 세션을 위해 HttpSession 이라는 기능을 제공하는데, 지금까지 나온 문제들을 해결해준다.
• 우리가 직접 구현한 세션의 개념이 이미 구현되어 있고, 더 잘 구현되어 있다.

 

📣 HttpSession 소개

• 서블릿이 제공하는 HttpSession 도 결국 우리가 직접 만든 SessionManager 와 같은 방식으로 동작한다.
• 서블릿을 통해 HttpSession 을 생성하면 다음과 같은 쿠키를 생성한다.
• 쿠키 이름이 JSESSIONID 이고, 값은 추정 불가능한 랜덤 값이다.
  ➡️ Cookie: JSESSIONID=5B78E23B513F50164D6FDD8C97B0AD05

 

HttpSession 사용

서블릿이 제공하는 HttpSession 을 사용하도록 개발해보자.

 

SessionConst

package hello.login.web.session;

public class SessionConst {
    public static String LOGIN_MEMBER = "loginMember";
}

• HttpSession 에 데이터를 보관하고 조회할 때, 같은 이름이 중복 되어 사용되므로, 상수를 하나 정의했다.

 

LoginController - loginV3()

    @PostMapping("/login")
    public String loginV3(@Valid @ModelAttribute LoginForm form, BindingResult bindingResult, HttpServletRequest request) {
        if (bindingResult.hasErrors()) {
            return "login/loginForm";
        }

        Member loginMember = loginService.login(form.getLoginId(), form.getPassword());
        log.info("login? {}", loginMember);

        if (loginMember == null) {
            bindingResult.reject("loginFail", "아이디 또는 비밀번호가 맞지 않습니다.");
            return "login/loginForm";
        }

        //로그인 성공 처리
        // 세션이 있으면 있는 세션 반환, 없으면 신규 세션을 생성
        HttpSession session = request.getSession();
        // 세션에 로그인 회원 정보 보관
        session.setAttribute(SessionConst.LOGIN_MEMBER, loginMember);

        return "redirect:/";

    }

 

📖 A. 세션 생성과 조회

• 세션을 생성하려면 request.getSession(true) 를 사용하면 된다.
• public HttpSession getSession(boolean create);

 

✓ 세션의 create 옵션

• request.getSession(true)
  ➡️ 세션이 있으면 기존 세션을 반환한다.
  ➡️ 세션이 없으면 새로운 세션을 생성해서 반환한다.

• request.getSession(false)
  ➡️ 세션이 있으면 기존 세션을 반환한다.
  ➡️ 세션이 없으면 새로운 세션을 생성하지 않는다. null 을 반환한다.

• request.getSession()
  ➡️ 신규 세션을 생성하는 request.getSession(true) 와 동일하다.

 

📖 B. 세션에 로그인 회원 정보 보관

session.setAttribute(SessionConst.LOGIN_MEMBER, loginMember);

• 세션에 데이터를 보관하는 방법은 request.setAttribute(..) 와 비슷하다.
• 하나의 세션에 여러 값을 저장할 수 있다.

 

LoginController - logoutV3()

    @PostMapping("/logout")
    public String logoutV3(HttpServletRequest request) {
		// 세션을 삭제한다.
        HttpSession session = request.getSession(false);
        if (session != null) {
            session.invalidate();
        }

        return "redirect:/";
    }

• session.invalidate() : 세션을 제거한다.

 

HomeController - homeLoginV3()

    @GetMapping("/")
    public String homeLoginV3(HttpServletRequest request, Model model) {

        HttpSession session = request.getSession(false); // 세션은 꼭 필요할 때 사용
        if (session == null) {
            return "home";
        }

        Member loginMember = (Member)session.getAttribute(SessionConst.LOGIN_MEMBER);

        // 세션에 회원 데이터가 없으면 home
        if (loginMember == null) {
            return "home";
        }

        // 세션이 유지되면 로그인으로 이동
        model.addAttribute("member", loginMember);
        return "loginHome";
    }

• request.getSession(false) : request.getSession() 를 사용하면 기본 값이 create: true 이므로, 로그인 하지 않을 사용자도 의미없는 세션이 만들어진다.
• 따라서 세션을 찾아서 사용하는 시점에는 create: false 옵션을 사용해서 세션을 생성하지 않아야 한다.
• session.getAttribute(SessionConst.LOGIN_MEMBER) : 로그인 시점에 세션에 보관한 회원 객체를 찾는다.

 

실행

• 로그인 할 때마다, JSESSIONID 쿠키가 생성되며 변경된다.

 

📚 5. 로그인 처리하기 - 서블릿 HTTP 세션2

스프링은 세션을 더 편리하게 사용할 수 있도록 @SessionAttribute 을 지원한다.

 

@SessionAttribute(name = "loginMember", required = false) Member loginMember

• 이미 로그인 된 사용자를 찾을 때는 이와 같이 사용하면 된다.
• 이 기능은 세션을 생성하지 않는다.

 

HomeController - homeLoginV3Spring()

    @GetMapping("/")
    public String homeLoginV3Spring(
            @SessionAttribute(name = SessionConst.LOGIN_MEMBER, required = false) Member loginMember, Model model) {


        // 세션에 회원 데이터가 없으면 home
        if (loginMember == null) {
            return "home";
        }

        // 세션이 유지되면 로그인으로 이동
        model.addAttribute("member", loginMember);
        return "loginHome";
    }

• 세션을 찾고, 세션에 들어있는 데이터를 찾는 번거로운 과정을 스프링이 한번에 편리하게 처리해주는 것을 확인할 수 있다.

 

📖 A. TrackingModes

• 이와 같이 로그인을 처음 시도하면 URL에 jsessionid 를 포함하고 있는 것을 확인할 수 있다.

이것은 웹 브라우저가 쿠키를 지원하지 않을 때 쿠키 대신 URL을 통해서 세션을 유지하는 방법이다.

이 방법을 사용하려면 URL에 이 값을 계속 포함해서 전달해야 한다.
타임리프 같은 템플릿은 엔진을 통해서 링크를 걸면 jsessionid 를 URL에 자동으로 포함해준다.
서버 입장에서 웹 브라우저가 쿠키를 지원하는지 하지 않는지 최초에는 판단하지 못하므로, 쿠키 값도 전달하고, URL에 jsessionid 도 함께 전달한다.

 

이와 반대로, URL 전달 방식을 끄고 항상 쿠키를 통해서만 세션을 유지하고 싶으면 다음 옵션을 넣어주면 된다.

application.properties

server.servlet.session.tracking-modes=cookie

이렇게 하면 URL에 jsessionid 가 노출되지 않는다.

 

📚 6. 세션 정보와 타임아웃 설정

(1) 세션 정보 확인

세션이 제공하는 정보들을 확인해보자.

 

SessionInfoController

package hello.login.web.session;

import lombok.Data;
import lombok.extern.slf4j.Slf4j;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpSession;
import java.util.Date;

@Slf4j
@RestController
public class SessionInfoController {

    @GetMapping("/session-info")
    public String sessionInfo(HttpServletRequest request) {
        HttpSession session = request.getSession(false);
        if (session == null) {
            return "세션이 없습니다.";
        }

        // 세션 데이터 출력
        session.getAttributeNames().asIterator()
                .forEachRemaining(name -> log.info("session name={}, value={}",name,session.getAttribute(name)));

        log.info("sessionId={}", session.getId());
        log.info("sessionId={}", session.getMaxInactiveInterval());
        log.info("createTime={}", new Date(session.getCreationTime()));

        log.info("lastAccessedTime={}",new Date(session.getLastAccessedTime()));
        log.info("isNew={}", session.isNew());
        return "세션 출력";
    }
}

• sessionId : 세션Id, JSESSIONID 의 값이다. 예) 34B14F008AA3527C9F8ED620EFD7A4E1
• maxInactiveInterval : 세션의 유효 시간, 예) 1800초, (30분)
• creationTime : 세션 생성일시
• lastAccessedTime :세션과 연결된 사용자가 최근에 서버에 접근한 시간, 클라이언트에서 서버로 sessionId ( JSESSIONID )를 요청한 경우에 갱신된다.
• isNew : 새로 생성된 세션인지, 아니면 이미 과거에 만들어졌고, 클라이언트에서 서버로 sessionId ( JSESSIONID )를 요청해서 조회된 세션인지 여부

 

실행 결과

 

(2) 세션 타임아웃 설정

• 세션은 사용자가 로그아웃을 직접 호출해서 session.invalidate() 가 호출 되는 경우에 삭제된다.
• 그런데 대부분의 사용자는 로그아웃을 선택하지 않고, 그냥 웹 브라우저를 종료한다.
• 문제는 HTTP가 비 연결성(ConnectionLess)이므로 서버 입장에서는 해당 사용자가 웹 브라우저를 종료한 것인지 아닌지를
  인식할 수 없다.
• 따라서 서버에서 세션 데이터를 언제 삭제해야 하는지 판단하기가 어렵다.

 

서버에서 세션을 언제 삭제해야하는지 판단하기 어려울 때 남아있는 세션을 무한정 보관하면 다음과 같은 문제가 발생할 수 있다.

🔊 세션을 무한정 보관하면 다음과 같은 문제가 발생

• 세션과 관련된 쿠키( JSESSIONID )를 탈취 당했을 경우 오랜 시간이 지나도 해당 쿠키로 악의적인 요청을 할 수 있다.
• 세션은 기본적으로 메모리에 생성된다.
• 메모리의 크기가 무한하지 않기 때문에 꼭 필요한 경우만 생성해서 사용해야 한다.
• 10만명의 사용자가 로그인하면 10만개의 세션이 생성되는 것이다.

 

위와 같은 이유로 세션은 타임아웃을 설정해야 한다.

🔔 세션의 종료 시점

• 생성 시점 30분을 잡으면, 해당 사이트를 돌아다니다가 30분이 지나면 세션이 삭제되기 때문에, 로그인을 또 해서 세션을 생성해야 한다.
• 최고의 방안 : 사용자가 서버에 최근에 요청한 시간을 기준으로 30분 정도를 유지해주는 것이다.
  ➡️ 이럴 경우, 사용자가 서비스를 사용하고 있으면, 세션의 생존 시간이 30분으로 계속 늘어나게 되어서 30분 마다 로그인해야 하는 번거로움이 사라진다.
  ➡️ HttpSession 은 이 방식을 사용한다.

 

로그인되고 60초동안 아무 입력없을 시, 로그아웃된다.

 

세션 타임아웃 설정

• 스프링 부트로 글로벌 설정

application.properties

server.servlet.session.timeout=60

• 60초, 기본은 1800(30분)
• 글로벌 설정은 분 단위로 설정해야 한다. 60(1분), 120(2분), ...

 

특정 세션 단위로 시간 설정

session.setMaxInactiveInterval(1800); //1800초

 

세션 타임아웃 발생

• 세션의 타임아웃 시간은 해당 세션과 관련된 JSESSIONID 를 전달하는 HTTP 요청이 있으면 현재 시간으로 다시 초기화 된다.
• 이렇게 초기화 되면 세션 타임아웃으로 설정한 시간동안 세션을 추가로 사용할 수 있다.
• session.getLastAccessedTime() : 최근 세션 접근 시간

 

LastAccessedTime 이후로 timeout 시간이 지나면, WAS가 내부에서 해당 세션을 제거한다.

 

💡 정리

• 서블릿의 HttpSession 이 제공하는 타임아웃 기능 덕분에 세션을 안전하고 편리하게 사용할 수 있다.
• 실무에서 주의할 점은 세션에는 최소한의 데이터만 보관해야 한다는 점이다.
• 보관한 데이터 용량 * 사용자 수로 세션의 메모리 사용량이 급격하게 늘어나서 장애로 이어질 수 있다.
• 추가로 세션의 시간을 너무 길게 가져가면 메모리 사용이 계속 누적 될 수 있으므로 적당한 시간을 선택하는 것이 필요하다.
• 기본이 30 분이라는 것을 기준으로 고민하면 된다.