Spring.15_Spring Security(3)

< 수업 순서 - 2024.09.24 >

📍자동로그인 기능

01. security-context.xml

• remember_me 태그 작성

• [remember-me]라는 이름의 쿠키에는 자동 로그인 관련 토큰이 자동 생성되어 저장 - 쿠키 유지 시간 : 기본값 2주

• token-validity-seconds 속성 : 인증 관련 토큰의 유지시간(초) 입력

02. form_login.jsp

• 자동 로그인 input 태그 추가

• 반드시 input 태그의 type 속성값을 [checkbox]로 설정하고 name 속성값을 [remember-me]로 설정

• 브라우저를 닫고 다시 페이지를 요청해도 로그인 상태 유지

---

📍인증 관련 토큰을 테이블을 생성하여 저장

• 인증 관련 토큰을 쿠키에 저장하는 것은 보안상 위험하므로 테이블을 생성해 인증 관련 토큰을 저장하여 사용할 수 있도록 설정하는 것을 권장

03. persistent_logins 테이블을 생성

create table persistent_logins(username varchar2(100), series varchar2(100) primary key, token varchar2(100), last_used timestamp);

04. security-context.xml

• data-source-ref 속성 : DataSource 관련 클래스의 Spring Bean 식별자

• Spring Security 가 인증 관련 토큰을 발급 받아 테이블의 행으로 자동 삽입하고 인증 처리시 자동 검색하여 사용

• 자동로그인 시 insert 명령이 작성되어 테이블에 삽입, 인증 처리시 테이블의 행을 자동 검색, 다시 로그인하면 기존에 있던 행을 삭제하고 다시 삽입

• 로그아웃 시 [remember-me] 쿠키 삭제
  

---

📍다중 로그인 방지

05. security-context.xml

• session-management : 사용자 정보 및 권한정보가 저장된 세션을 관리하기 위한 엘리먼트

• concurrency-control : 세션의 허용 갯수를 설정하기 위한 엘리먼트 - 다중 로그인 방지(동시 접속 차단)

  • max-sessions 속성 : 세션의 최대 허용 갯수를 속성값으로 설정 - 기존 세션 무효화 처리(언바인딩) : 브라우저에 따라 사용하는 세션이 다름
  • expired-url 속성 : 세션의 최대 허용 갯수를 초과할 경우 요청할 페이지
  • error-if-maximum-exceeded 속성 : false(기본값) - 기존 세션을 무효화 처리하고 새로운 세션을 사용/ 또는 true - 기존 세션을 유지하고 새로운 세션을 미생성하여 로그인 처리 불가능

06. LoginController

• /session_error 페이지 get 방식으로 요청 시 호출되는 요청 처리 메소드 작성

07. session_error.jsp : 에러 페이지