Cookie
쿠키 생성
Cookie idCookie = new Cookie("memberId", String.valueOf(loginMember.getId()));
response.addCookie(idCookie);쿠키 조회
@CookieValue(name = "memberId", required = false)
public String homeLogin(@CookieValue(name = "memberId", required = false) Long memberId,
Model model) {쿠키 종료
cookie.setMaxAge(0);
보안 문제
- 쿠키 값은 임의로 변경 가능
- 쿠키에 보관된 정보를 훔칠 수 있음
💡 대안
- 쿠키에 중요한 값이 아닌 예측 불가능한 임의의 토큰(랜덤 값)을 노출
- 서버에서 토큰과 사용자 id를 매핑하여 인식, 서버에서 토큰을 관리
- 서버에서 해당 토큰의 만료시간을 짧게(ex. 30분) 유지
- 해킹이 의심되는 경우 서버에서 해당 토큰을 강제로 제거
Session
: 서버에 중요한 정보를 보관하고 연결을 유지하는 방법
세션 동작 방식
- 사용자의 로그인 정보를 받아 서버에서 사용자 확인
- 추정 불가능한 세션 ID (UUID) 생성 후, 데이터와 함께 서버의 세션 저장소에 보관
- 세션 ID를 쿠키에 담아 클라이언트에게 전달
핵심!
👉 회원과 관련된 정보는 전혀 클라이언트에 전달하지 않음
👉 추정 불가능한 세션 ID만 쿠키를 통해 클라이언트에 전달
UUID (Universally Unique IDentifier) 생성
UUID.randomUUID()
서블릿 HTTP 세션 1
서블릿 공식 지원 세션
- 서블릿을 통해 HttpSession 을 생성하면 다음과 같은 쿠키를 생성
- 쿠키 이름 : JSESSIONID
값: 추정 불가능한 랜덤 값
Cookie: JSESSIONID=5B78E23B513F50164D6FDD8C97B0AD05
세션 생성
request.getSession(true)
-
request.getSession(true)
- 기본값
- 세션이 있으면 기존 세션 반환
- 세션이 없으면 새로운 세션을 생성하여 반환
-
request.getSession(false)
- 세션이 있으면 기존 세션 반환
- 세션이 없으면 새로운 세션을 생성하지 않고 null 반환
값 저장
session.setAttribute(SessionConst.LOGIN_MEMBER, loginMember);
- 하나의 세션에 여러 값을 저장할 수 있다
세션 제거
session.invalidate()
서블릿 HTTP 세션 2
@SessionAttribute
- 세션을 더 편리하게 사용할 수 있도록 스프링 지원
- 생성하는 기능은 없음
- 이미 로그인 된 사용자를 찾는 경우 아래처럼 사용
@SessionAttribute(name = "loginMember", required = false) Member loginMemberTrackingModes
로그인을 처음 시도하면 URL이 다음과 같이 jsessionid 를 포함한다
http://localhost:8080/;jsessionid=F59911518B921DF62D09F0DF8F83F872- 웹 브라우저가 쿠키를 지원하지 않을 때, 쿠키 대신 URL을 통해서 세션을 유지하는 방법
- 사용하려면 URL에 이 값을 계속 포함해서 전달해야 한다
🔎 URL 전달 방식 끄기
application.properties
server.servlet.session.tracking-modes=cookie
세션 정보
sessionId : 세션 Id, JSESSIONID 값 (ex. 34B14F008AA3527C9F8ED620EFD7A4E1)
maxInactiveInterval : 세션 유효 시간 (ex. 1800초 = 30분)
creationTime : 세션 생성일시
lastAccessedTime :
- 세션과 연결된 사용자가 최근에 서버에 접근한 시간
- 클라이언트에서 서버로 sessionId (JSESSIONID)를 요청한 경우 갱신
isNew : 새로 생성된 세션인지, 조회된 세션인지 여부
세션 타임아웃 설정
- 세션은 session.invalidate( ) 호출시 삭제
- 그런데 대부분의 사용자는 로그아웃 대신 웹 브라우저를 종료
👉 HTTP는 비연결성(ConnectionLess)이므로 서버는 웹 브라우저를 종료한 것인지 아닌지 인식 불가
👉 서버에서 세션 데이터를 언제 삭제해야 하는지 판단하기 어렵다
세션을 무한정 보관할 경우 여러 문제 발생
따라서 사용자가 서버에 최근에 요청한 시간을 기준으로 30분 정도 유지
① 스프링 부트로 글로벌 설정
application.properties
server.servlet.session.timeout=60
- 기본값 1800 (30분)
- 글로벌 설정은 분 단위로 설정
ex. 60(1분), 120(2분)
② 특정 세션 단위로 시간 설정
session.setMaxInactiveInterval(1800);
타임아웃 발생
- 타임아웃 시간은 해당 세션과 관련된 JSESSIONID 를 전달하는 HTTP 요청이 있으면 현재 시간으로 다시 초기화
- 초기화 되면 세션 타임아웃으로 설정한 시간동안 세션을 추가로 사용 가능
- LastAccessedTime 이후로 timeout 시간이 지나면 WAS가 내부에서 해당 세션을 제거
session.getLastAccessedTime() : 최근 세션 접근 시간
주의할 점
- 세션에는 최소한의 데이터만 보관
- 보관한 데이터 용량 * 사용자 수로 세션의 메모리 사용량이 급격하게 늘어나서 장애로 이어짐
- 세션 시간이 너무 길면 메모리 사용이 누적 될 수 있으므로 적당한 시간 선택
- 기본이 30분이라는 것을 기준으로 고민
