12) 로그인처리 - 쿠키, 세션 (실전)

로그인 처리하기 - Servlet Http Session (서블릿 http 세션)  1

 

세션이라는 개념은 대부분의 웹 애플리케이션에 필요한 것이다.

어쩌면 웹이 등장하면서 부터 나온 문제이다.

서블릿은 세션을 위해 HttpSession 이라는 기능을 제공하는데, 지금까지 나온 문제들을 해결해준다.

우리가 직접 구현한 세션의 개념이 이미 구현되어 있고, 더 잘 구현되어 있다.

 

HttpSession

서블릿이 제공하는 HttpSession 도 결국 우리가 직접 만든 SessionManager 와 같은 방식으로 동작한다.

 

서블릿을 통해 HttpSession 을 생성하면 다음과 같은 쿠키를 생성한다.

 

쿠키 이름이 JSESSIONID 이고, 값은 추정 불가능한 랜덤 값이다.

 

 

 

세션 정리

https://www.inflearn.com/questions/543698/%EC%84%B8%EC%85%98-%EA%B4%80%EB%A0%A8-%EC%9D%B4%ED%95%B4%ED%95%9C-%EB%82%B4%EC%9A%A9%EC%9D%B4-%EB%A7%9E%EB%8A%94%EC%A7%80-%ED%99%95%EC%9D%B8%EB%B6%80%ED%83%81%EB%93%9C%EB%A6%BD%EB%8B%88%EB%8B%A4

 

세션 관련 이해한 내용이 맞는지 확인부탁드립니다 - 인프런 | 질문 & 답변

 

HttpSession 사용

서블릿이 제공하는 HttpSession 을 사용하도록 개발해보자.

 

 

SessionConst

public class SessionConst {  //이렇게 상수를 저장하는 class는 abstract class와 같은 추상클래스로 만들거나, 인터페이스로 만드는것이 좋다.

     public static final String LOGIN_MEMBER = "loginMember";

}

HttpSession에 데이터를 보관하고 조회할 때, 같은 이름이 중복 되어 사용되므로, 상수를 하나 정의했다.

 

 

 

로그인 개발 V3      (  HttpSession 이용 )

@PostMapping("/login")
public String loginV3(@Valid @ModelAttribute LoginForm form, BindingResult bindingResult, HttpServletRequest request) {
    if (bindingResult.hasErrors()) {
        return "login/loginForm";
    }

    Member loginMember = loginService.login(form.getLoginId(), form.getPassword());

    if (loginMember == null) { // login의 반환이 null이라는것은 로그인 아이디에 맞는 멤버가 없거나, 비밀번호가 틀렸거나이다.
        //이럴때는 필드에러가 아닌 복합적인 검증실패이므로 오브젝트에러(글로벌오류)를 생성해서 bindingResult에 담는 reject() 메소드를 사용한다.
        bindingResult.reject("loginFail", "아이디 또는 비밀번호가 맞지 않습니다.");
        //에러코드는 에러코드메시지파일에 추가해주면 defaultMessage를 null로 주면 되고, 추가하지않고 바로 사용하려면 이렇게 기본메시지를 넣어주면된다.
        return "login/loginForm";
    }

    //로그인 성공처리

    //세션이 있으면 있는 세션을 반환, 없으면 신규 세션을 생성 (유저마다 하나씩 세션이 부여되므로)
    //신규 세션 생성이라면 , 일단 세션을 생성하고, 세션들을 저장하는 세션저장소에  (세션ID(UUID,Jsessionid),세션객체) 를 저장한다. 그리고 세션객체 반환
    //원래 세션이 있다면(http요청헤더 쿠키로 세션id가 넘어온경우?) 해당 세션객체를 반환한다.
    HttpSession session = request.getSession(); // HttpServletRequest.getSession()을 이용해서 HttpSession을 받아온다.

    //세션에 로그인 회원정보를 보관, 내 세션에다가 저장할값의이름, 저장할값 을 저장한다.
    session.setAttribute(SessionConst.LOGIN_MEMBER,loginMember); // 받은 나의 세션에다가 키 : "loginMember" 값 : 멤버객체를 저장한다.

    //그리고 톰캣이 응답메시지에 내 세션의 ID(uuid,Jsessionid)를 쿠키에 담아 보내준다.
    return "redirect:/";
}

(위에서는 멤버객체(loginMember)를 value로 저장했는데 실무에서는 그렇게하지않고, 멤버id라던지

아니면 꼭 필요한 필드만 모아둔 객체를 만들어 넣는다던지 해서 아주 타이트하게 필요한 정보만 넣어야한다) 

 

 

Http세션, Http세션저장소, 동작방식 정리

https://www.inflearn.com/questions/520956/%EC%BB%A4%EB%AE%A4%EB%8B%88%ED%8B%B0-%EB%8B%B5%EB%B3%80-%EA%B8%80-%EB%B3%B4%EB%A9%B4%EC%84%9C-httpsession-%EB%8F%99%EC%9E%91-%EC%9B%90%EB%A6%AC-%EC%A0%95%EB%A6%AC%ED%96%88%EB%8A%94%EB%8D%B0-%EB%A7%9E%EB%8A%94%EC%A7%80-%ED%99%95%EC%9D%B8%ED%95%B4%EC%A3%BC%EC%84%B8%EC%9A%94

커뮤니티 답변 글 보면서 HttpSession 동작 원리 정리했는데 맞는지 확인해주세요 :] - 인프런 | 질문

 

 

세션 생성과 조회

세션을 생성하려면

request.getSession(true)

를 사용하면 된다 (request.getSession() 를 사용하면 기본 값이 create: true 이다)

request.getSession(true)

세션이 있으면 기존 세션을 반환한다.

세션이 없으면 새로운 세션을 생성해서 반환한다.

request.getSession(false)

세션이 있으면 기존 세션을 반환한다.

세션이 없으면 새로운 세션을 생성하지 않는다. null 을 반환한다.

 

 

request.getSession()  == request.getSession( true )

request.getSession() 를 사용하면 기본 값이 create: true 이다

신규 세션을 생성하는 request.getSession(true) 와 동일하다.

 

세션은 기본적으로 메모리에 생성된다. 메모리의 크기가 무한하지 않기 때문에 꼭 필요한 경우만 생성해서 사용해야 한다. 

 

세션에 로그인 회원 정보 보관

//세션에 로그인 회원정보를 보관, 내 세션에다가 저장할값의이름, 저장할값 을 저장한다.
session.setAttribute(SessionConst.LOGIN_MEMBER,loginMember); // 받은 나의 세션에다가 키 : "loginMember" 값 : 멤버객체를 저장한다.

하나의 세션에 여러 값을 저장할 수 있다

 

 

 

로그아웃 V3 (Http Session 이용)

@PostMapping("/logout")
public String logoutV3(HttpServletRequest request) {
    HttpSession session = request.getSession(false); //세션이 있으면 가져오고, 없으면 null을 반환 , true면 있으면 가져오고 없으면 세션생성
    if (session != null) {
        session.invalidate(); //세션과 그 세션안에 있는 데이터들이 모두 삭제된다. (그러면 세션들을 저장하는 세션저장소에서도 사라질것이다.)
    }
    return "redirect:/";
}

 

홈화면이동 메소드 (Http Session 이용)

홈화면은 로그인한 사용자와 로그인하지않은 사용자의 뷰 템플릿이 다르다.

@GetMapping("/")
public String homeLoginV3(HttpServletRequest request, Model model) {

    HttpSession session = request.getSession(false); // http요청하는 클라이언트가 세션을 가졌는지 체크한다. false로 해놔야 세션이 없는 클라이언트일시 세션을 생성하지않고 null을 반환한다

    if (session == null) { //세션이 없다면
        return "home"; // 일반 홈화면으로
    }

    Member loginMember = (Member)session.getAttribute(SessionConst.LOGIN_MEMBER); // 세션이 있으면 키 : "loginMember"의 값을 가져온다.

    //세션안에 많은것들이 저장될 수 있는데 , 해당 키에 대한 값이 없다면  (세션에 회원 데이터가 없으면)
    if (loginMember == null) {
        return "home"; //일반 홈화면으로
    }

    //세션안에 회원 데이터가 있으면
    model.addAttribute("member", loginMember); // 모델에 값을 담아준다 (뷰에서 데이터를 뿌려주기 위해)
    return "loginHome"; // 로그인한 사용자 전용 홈화면을 렌더링
}

 

request.getSession() 를 사용하면 기본 값이 create: true 이므로,

로그인 하지 않을 사용자도 의미없는 세션이 만들어진다.

 

그러므로 request.getSession(false)를 사용한다.

(세션을 찾아서 사용하는 시점에는 create: false 옵션을 사용해서 세션을 생성하지 않아야 한다.)

 

 

session.getAttribute(SessionConst.LOGIN_MEMBER) : 로그인 시점에 세션에 보관한 회원 객체를 찾는다

 

 

실행 확인

로그인 했을시

쿠키에 JSESSIONID가 잘 들어가 있는것을 확인할 수 있다 ( 내 세션에 접근하기 위한 키)

 

홈화면으로 이동했을때

요청헤더에 쿠키로 JSESSIONID가 잘담긴것을 확인할 수 있다.

 

로그아웃하고 홈화면이동

웹 브라우저에서 쿠키는 아직 삭제되지않았지만 잘 로그아웃 되었다.

 

삭제되지않은 이유는 세션쿠키이기때문에 어차피 웹브라우저를 껐다켜야사라진다.

해당 JSESSIONID를 사용하는 세션은 세션저장소에 삭제되었기에 상관없다.

 

 

로그인 처리하기 - Servlet Http Session (서블릿 http 세션)  2

 

 

@SessionAttribute

스프링은 세션을 더 편리하게 사용할 수 있도록 @SessionAttribute 을 지원한다

 

이미 로그인 된 사용자를 찾을 때는 다음과 같이 사용하면 된다. 참고로 이 기능은 세션을 생성하지 않는다. 

(세션을 찾고, key를 이용해서 찾은 세션안에 value를 가져올때 사용한다.)

 

@SessionAttribute(name = SessionConst.LOGIN_MEMBER, required = false)Member loginMember

 

HomeController - homeLoginV3Spring()

@GetMapping("/")
public String homeLoginV3Spring(
    @SessionAttribute(name = SessionConst.LOGIN_MEMBER, required = false)Member loginMember, Model model) {
    //@SessionAttribute로 한번에 세션에있는값을 가져올 수 있다.
    // 쿠키에 있는 JSESSIONID를 가지고 세션을 검색하고, 그 세션안에 name에 넣는 키를 이용해서 값을 꺼내온다.
    // 로그인하지않은 사용자(JSESSIONID를 가지고있지않은 사용자)도 이용할 수 있으므로 required = false로 해둔다.

    if (loginMember == null) {
        return "home"; //일반 홈화면으로
    }

    //세션에서 회원정보를 받아왔다면
    model.addAttribute("member", loginMember); // 모델에 값을 담아준다 (뷰에서 데이터를 뿌려주기 위해)
    return "loginHome"; // 로그인한 사용자 전용 홈화면을 렌더링
}

 

 

TrackingModes

로그인을 처음 시도하면 URL이 다음과 같이 jsessionid 를 포함하고 있는 것을 확인할 수 있다.

 

이것은 웹 브라우저가 쿠키를 지원하지 않을 때 쿠키 대신 URL을 통해서 세션을 유지하는 방법이다.

(하지만 우리는 쿠키를 사용하니까, 쿠키랑 url에 jsessionid가 전달되고있는 상황이다.)

 

이 방법을 사용하려면 URL에 이 값을 계속 포함해서 전달해야 한다.

타임리프 같은 템플릿은 엔진을 통해서 링크를 걸면 jsessionid 를 URL에 자동으로 포함해준다.

 

서버 입장에서 웹 브라우저가 쿠키를 지원하는지 하지 않는지 최초에는 판단하지 못하므로,

쿠키 값도 전달하고, URL에 jsessionid 도 함께 전달한다.

 

URL 전달 방식을 끄고 항상 쿠키를 통해서만 세션을 유지하고 싶으면 다음 옵션을 넣어주면 된다.

이렇게 하면 URL에 jsessionid 가 노출되지 않는다.

(웹브라우저가 쿠키를 지원하는지 안하는지 모르니까 일단 항상 url에 추가된다고 보면되고,

url에 추가되는것을 끄려면 밑에 코드를 추가한다.)

 

application.properties

server.servlet.session.tracking-modes=cookie

 

넣으니까 url에 jsessionid가 보이지않게되었다.

 

 

세션 정보와 타임아웃 설정

 

 

세션 정보 확인 : 

세션이 제공하는 정보들을 확인해보자.

 

 

세션 정보 컨트롤러

@Slf4j
@RestController
public class SessionInfoController {

    @GetMapping("/session-info")
    public String sessionInfo(HttpServletRequest request) {
        HttpSession session = request.getSession(false);
        if (session == null) {
            return "세션이 없습니다.";
        }

        //세션 데이터 출력
        session.getAttributeNames().asIterator()
            .forEachRemaining(
                name -> log.info("session name ={} ,value ={}", name, session.getAttribute(name)));

        //세션 정보 출력
        log.info("sessionId ={}", session.getId());
        log.info("getMaxInactiveInterval ={}", session.getMaxInactiveInterval());
        log.info("CreationTime ={} , 기본인 long 으로 출력했을경우 = {}",  new Date(session.getCreationTime()),session.getCreationTime() ); //세션 생성시간
        log.info("LastAccessedTime ={}", new Date(session.getLastAccessedTime())); //세션에 마지막으로 접근한 시간
        log.info("isNew ={}", session.isNew()); // 존재하던 세션이 온것인지, 없어서 새로 생성된 세션이 온것인지.

        return "세션출력";
    }
}

sessionId : 세션Id, JSESSIONID 의 값이다. 예) 34B14F008AA3527C9F8ED620EFD7A4E1

 

maxInactiveInterval : 세션의 유효 시간, 예) 1800초, (30분)

 

creationTime : 세션 생성일시

 

lastAccessedTime : 세션과 연결된 사용자가 최근에 서버에 접근한 시간,

클라이언트에서 서버로 sessionId ( JSESSIONID )를 요청한 경우에 갱신된다.

 

isNew : 새로 생성된 세션인지, 아니면 이미 과거에 만들어졌고,

클라이언트에서 서버로 sessionId ( JSESSIONID )를 요청해서 조회된 세션인지 여부

 

 

결과 확인

맨처음

localhost:8080/session-info

으로 가면 세션이 없을것이다 ( 아직 로그인을 하지않아서 JSESSION를 받지 못했기때문, 못받았으니까 http요청헤더의 쿠키에는 세션아이디가 없고, 그래서 못찾아옴)

 

로그 결과

 

 

세션 타임아웃 설정

 

세션은 사용자가 로그아웃을 직접 호출해서 session.invalidate() 가 호출 되는 경우에 삭제된다.

 

그런데 대부분의 사용자는 로그아웃을 선택하지 않고, 그냥 웹 브라우저를 종료한다

 

문제는 HTTP가 비 연결성(ConnectionLess)이므로 서버 입장에서는

해당 사용자가 웹 브라우저를 종료한 것인지 아닌지를 인식할 수 없다.

 

따라서 서버에서 세션 데이터를 언제 삭제해야 하는지 판단하기가 어렵다.

 

 

 

이 경우 남아있는 세션을 무한정 보관하면 다음과 같은 문제가 발생할 수 있다.

 

• 세션과 관련된 쿠키( JSESSIONID )를 탈취 당했을 경우 오랜 시간이 지나도 해당 쿠키로 악의적인 요청을 할 수 있다.
  
• 세션은 기본적으로 메모리에 생성된다. 메모리의 크기가 무한하지 않기 때문에 꼭 필요한 경우만 생성해서 사용해야 한다. 10만명의 사용자가 로그인하면 10만개의 세션이 생성되는 것이다.

 

 

세션의 종료 시점

세션의 종료 시점을 어떻게 정하면 좋을까?

가장 단순하게 생각해보면, 세션 생성 시점으로부터 30분 정도로 잡으면 될 것 같다.

 

그런데 문제는 30분이 지나면 세션이 삭제되기 때문에,

열심히 사이트를 돌아다니다가 또 로그인을 해서 세션을 생성해야 한다

 

그러니까 30분 마다 계속 로그인해야 하는 번거로움이 발생한다.

 

더 나은 대안은

세션 생성 시점이 아니라 사용자가 서버에 최근에 요청한 시간을 기준으로 30분 정도를 유지해주는 것이다.

 

이렇게 하면 사용자가 서비스를 사용하고 있으면,

세션의 생존 시간이 30분으로 계속 늘어나게 된다.

따라서 30분 마다 로그인해야 하는 번거로움이 사라진다. HttpSession 은 이 방식을 사용한다

 

 

 

 

스프링 세션 타임아웃 설정

 

스프링 부트로 글로벌 설정

 

application.properties

server.servlet.session.timeout=60

이렇게 60초로 세팅가능하다. (글로벌 설정은 분 단위로 설정해야 한다. 60(1분), 120(2분), ... 60의배수로 설정해야한다.)

 

 

기본값은 1800(30분)이다.

아까 세션정보를 출력했을때 getMaxInactiveInterval값이 1800이 나왔던 이유는

기본값이 30분이기 때문이다.

 

 

60초로 바꾸고 난후 세션정보확인

이렇게 해놓고, 60초동안 아무것도 하지않는다.

( 새로고침이라던지, 다른버튼을 누른다던지와 같이 서버에 어떤 url호출도 하면안된다)

(위의 나와있는 LastAccessedTime(최근 접속시간)을 기준으로 60초 후에 만료가 되는것이기 때문에!)

 

결과를 보면 JSESSIONID는 가지고있지만, 해당 세션이 세션저장소에서 삭제된 후라서

일반 홈화면으로 가게된것을 확인할 수 있다.

(LastAccessedTime 이후로 timeout 시간이 지나면, WAS가 내부에서 해당 세션을 제거한다.)

 

 

 

세션 타임아웃 발생

세션의 타임아웃 시간은 해당 세션과 관련된 JSESSIONID 를 전달하는 HTTP 요청이 있으면

현재 시간으로 다시 초기화 된다.

 

이렇게 초기화 되면 세션 타임아웃으로 설정한 시간동안 세션을 추가로 사용할 수 있다.

 

 

최근 세션 접근 시간

session.getLastAccessedTime()

 

LastAccessedTime 이후로 timeout 시간이 지나면, WAS가 내부에서 해당 세션을 제거한다.

 

 

정리

서블릿의 HttpSession이 제공하는 타임아웃 기능 덕분에 세션을 안전하고 편리하게 사용할 수 있다.

 

실무에서 주의할 점은

세션에는 최소한의 데이터만 보관해야 한다는 점이다.

보관한 데이터 용량 * 사용자 수로 세션의 메모리 사용량이 급격하게 늘어나서 장애로 이어질 수 있다.

 

(위의 프로젝트에서는 멤버객체를 value로 저장했는데 그렇게하지않고, 멤버id라던지

아니면 꼭 필요한 필드만 모아둔 객체를 만들어 넣는다던지 해서 아주 타이트하게 필요한 정보만 넣어야한다) 

 

 

 

 

추가로 세션의 시간을 너무 길게 가져가면 메모리 사용이 계속 누적 될 수 있으므로

적당한 시간을 선택하는 것이 필요하다. 기본이 30 분이라는 것을 기준으로 고민하면 된다.