[스프링 MVC] 로그인 처리(1) - 쿠키, 세션

스프링 MVC 2편의 강의 내용을 정리한 포스팅입니다.

---

로그인 요구사항

로그인 처리 파트 학습은 아래 요구사항을 구현하는 과정을 통해 이루어진다.

1. 로그인 전 홈 화면에는 회원가입과 로그인 버튼이 존재한다.

2. 로그인 후 홈 화면에는 회원 이름, 상품 관리 버튼, 로그아웃 버튼이 존재한다.

3. 로그인 사용자만 상품에 접근하고, 관리할 수 있다. 만약 로그인하지 않은 사용자가 상품 관리에 접근할 경우 로그인 화면으로 이동한다.

 

기본 로그인 처리

로그인 컨트롤러는 서비스 로직을 호출하여 로그인에 성공하면 홈 화면으로 이동하고, 로그인에 실패하면 BindingResult의 reject() 메서드를 사용해서 ObjectError를 생성한다. 그리고 정보를 다시 입력하도록 로그인 폼을 뷰 템플릿으로 사용하도록 하면 기본적인 로그인 구현이 완료된다.

하지만 로그인 이후 홈 화면에 회원 이름이 보여야 한다는 요구사항을 만족하지는 못하는데, 이는 로그인의 상태가 유지되지 못하기 때문이다. 로그인의 상태를 유지하면서 홈 화면에서 회원 정보를 이용하기 위해서는 쿠키 또는 세션을 이용할 수 있다.

 

쿠키를 이용한 로그인 처리

서버에서 로그인에 성공하면 HTTP 응답(HttpServletResponse)에 회원 아이디를 가진 쿠키를 담아 브라우저에 전달한다. 그러면 브라우저는 앞으로 서버에 요청을 보낼 때마다 해당 쿠키를 담아 보내준다.

특정 만료 날짜까지 유지하는 영속 쿠키와 브라우저 종료 전까지만 유지하는 세션 쿠키가 있는데, 해당 예시의 경우 세션 쿠키를 이용한다.

 

쿠키를 이용함으로써 로그인 쿠키가 없거나 있어도 회원이 아닌 사용자는 로그인 전 홈 화면으로 보내고, 로그인 쿠키가 있으면서 회원인 사용자는 로그인 후 홈 화면으로 보낸다. 홈 화면에 회원 정보 중 하나인 회원 이름을 출력해야 하므로 회원 객체에 대한 데이터도 모델에 담아 전달한다.

 

로그아웃의 경우 세션 쿠키를 이용하므로 웹 브라우저 종료 시 자동으로 로그아웃이 된다. 따라서 로그인 후 홈 화면에 존재하는 로그아웃 버튼을 눌렀을 때 쿠키를 만료시키도록 로직을 구성하면 된다. 이는 Cookie 클래스의 setMaxAge(0)을 통해 구현할 수 있다.

 

 

세션

쿠키와 보안문제

쿠키를 사용해 회원 아이디를 전달함으로써 로그인을 유지할 수 있었는데, 심각한 보안 문제를 가지고 있다.

우선 쿠키 값은 임의로 변경할 수 있다. 클라이언트가 쿠키 값(회원 아이디)을 강제로 변경하면 다른 사용자로 둔갑하여 접속이 가능하다.

다음으로 쿠키에 보관된 정보는 훔쳐갈 수 있다는 점이다. 만약 쿠키에 개인정보가 있다면 해당 정보가 웹 브라우저에도 보관되고, 네트워크 요청 시마다 계속 클라이언트에서 서버로 전달된다. 그 과정에서 쿠키의 정보가 탈취될 가능성이 높아진다.

 

쿠키를 통해 보완해야 할 지점에 대해 알아보았는데, 정리하자면 다음과 같다.

쿠키에 중요한 값을 담지 않고, 쿠키의 내용은 예측 불가능한 임의의 랜덤 값(토큰)을 넣어 서버에서 토큰과 사용자 정보를 맵핑함으로써 인식하도록 한다. 혹여 제 3자가 쿠키를 탈취하여 사용할 가능성을 방지하기 위해 서버에서 해당 토큰의 만료시간을 짧게 유지하고, 해킹이 의심되는 경우 서버에서 토큰을 강제로 제거하도록 하면 된다.

 

결국 쿠키에 대한 보안 문제를 해결하기 위해서는 중요한 정보를 모두 서버에 저장해야 한다. 그리고 클라이언트와 서버는 예측 불가능한 임의의 식별자 값으로 연결해야 한다. 이렇게 서버에 중요한 정보를 보관하고 연결을 유지하는 방법을 세션이라고 한다.

 

세션 - 로그인

세션을 이용한 로그인은 다음과 같은 과정을 거친다.

1. 사용자가 로그인 아이디와 비밀번호 정보를 전달하면 서버에서 해당 사용자가 맞는지 확인한다. 만약 일치할 경우 세션 아이디를 생성하는데, 이때 값은 예측 불가능해야 한다.(값으로 UUID를 이용할 수 있음)

2. 이렇게 생성된 세션 아이디와 보관할 값(특정 회원 객체의 값)을 서버에 세션 저장소에 보관한다.

3. 서버는 세션 아이디만 쿠키에 담아서 클라이언트에게 전달하고, 클라이언트는 쿠키 저장소에 세션 아이디 값을 가진 쿠키를 보관한다.

여기서 중요한 점은 회원과 관련된 정보는 클라이언트에 전달하지 않는다는 것이다. 오직 예측 불가능한 세션 아이디만 쿠키를 통해 클라이언트에 전달한다.

4. 클라이언트는 서버에 요청을 전송할 때 세션 아이디를 담은 쿠키를 전달한다.

5. 서버에서는 클라이언트가 전달한 세션 아이디 값을 통해 세션 저장소를 조회하여 로그인 시 보관한 세션 정보를 사용한다.

 

이렇게 하면 쿠키에는 중요한 정보가 담겨있지 않고 서버에서 중요 정보를 모두 관리하기 때문에 쿠키가 가진 보안문제를 해결할 수 있다.

 

 

직접 만든 세션을 이용한 로그인 처리

크게 세 가지 기능을 구현하면 된다.

1. 세션 생성 - 세션 저장소에 새로 생성한 세션 아이디와 보관할 값을 저장하고 응답 쿠키를 생성해서 클라이언트에 전달

2. 세션 조회 - 클라이언트가 요청한 세션 아이디 쿠키 값으로 세션 저장소에 보관한 값 조회

3. 세션 만료 - 클라이언트가 요청한 세션 아이디 쿠키 값으로 세션 저장소에 보관한 정보 제거

class SessionManagerTest {
    SessionManager sessionManager = new SessionManager();
    
    @Test
    void sessionTest() {
        //세션 생성
        MockHttpServletResponse response = new MockHttpServletResponse();
        Member member = new Member();
        sessionManger.createSession(member, response);
        
        //요청에 응답 쿠키 저장
        MockHttpServletRequest request = new MockHttpServletRequest();
        request.setCookies(response.getCookies());
        
        //세션 조회
        Object result = sessionManager.getSession(request);
        assertThat(result).isEqualTo(member);
        
        //세션 만료
        sessionManager.expire(request);
        Object expired = sessionManager.getSession(request);
        assertThat(expired).isNull();
    }
}

 

 

서블릿 HTTP 세션을 이용한 로그인 처리

HttpSession

세션을 직접 만들어 적용할 수도 있지만, 꽤나 번거로운 작업이다. 따라서 서블릿도 HttpSession이라는 세션 개념을 지원한다.

서블릿을 통해 HttpSession을 생성하면 JSESSIONID라는 이름을 가지면서 추정 불가능한 랜덤 값을 가지는 쿠키를 생성한다.

//상수를 정의하는 클래스이므로 객체가 생성되지 않음, 따라서 public class로 선언하기보다는 interface나 abstract로 선언할 수 있음
public abstract class SessionConst { 
     public static final String LOGIN_MEMBER = "loginMember";
 }

@PostMapping("/login")
public String login(@Valid @ModelAttribute LoginForm form, BindingResult bindingResult, HttpServletRequest request) {
    if (bindingResult.hasErrors()) {
        return "login/loginForm";
    }

    Member loginMember = loginService.login(form.getLoginId(), form.getPassword());

    if (loginMember == null) {
        bindingResult.reject("loginFail", "아이디 또는 비밀번호가 맞지 않습니다.");
        return "login/loginForm";
    }

    //로그인 성공 처리; 세션이 있으면 세션 반환, 없으면 신규 세션 생성
    HttpSession session = request.getSession();
    session.setAttribute(SessionConst.LOGIN_MEMBER, loginMember); //세션에 로그인 회원 정보 보관
    return "redirect:/";
}

@GetMapping("/")
public String homeLogin(HttpServletRequest request, Model model) {
    HttpSession session = request.getSession(false); //true일 경우 로그인 하지 않을 사용자에게도 의미 없는 세션이 생성됨
    if (session == null) {
        return "home";
    }

    Member member = (Member) session.getAttribute(SessionConst.LOGIN_MEMBER);
    if (member == null) {
        return "home";
    }
    model.addAttribute("member", member);
    return "loginHome";
}

1. 세션 생성과 조회

세션을 생성하려면 request.getSession()를 사용하면 되는데, 해당 메서드에는 create 옵션이 존재한다.

request.getSession(true)인 경우 세션이 있으면 기존 세션을 반환하고, 없으면 새로운 세션을 생성해 반환한다.(기본 값이 true)

request.getSession(false)인 경우 세션이 있으면 기존 세션을 반환하고, 없으면 새로운 세션을 생성하지 않고 null을 반환한다.

 

2. 세션에 로그인 회원 정보 보관

서블릿은 통일된 인터페이스를 이용하므로 세션에 데이터를 보관하는 방법은 request.setAttrubute()와 유사하다. 하나의 세션에 여러 값을 저장할 수도 있다.

 

 

@SessionAttribute

스프링은 세션을 더 편리하게 사용할 수 있도록 @SessionAttribute를 지원하는데, 세션을 찾고, 세션에 들어있는 데이터를 찾는 번거로운 과정을 스프링이 한 번에 처리해 준다.

@GetMapping("/")
public String homeLoginSpring(@SessionAttribute(name = SessionConst.LOGIN_MEMBER, required = false) Member member, Model model) {
    if (member == null) {
        return "home";
    }
    model.addAttribute("member", member);
    return "loginHome";
}

이미 로그인된 사용자를 찾을 때는 위와 같이 사용하면 되며, 해당 기능은 세션을 생성하지는 않는다.

 

세션 정보와 타임아웃 설정

세션 정보

다음과 같이 세션 정보를 출력할 수 있다.

@GetMapping("/session-info")
public String sessionInfo(HttpServletRequest request) {
    HttpSession session = request.getSession(false);
    if (session == null) {
        return "no session";
    }

    session.getAttributeNames().asIterator()
           .forEachRemaining(name -> log.info("session name={}, value={}", name, session.getAttribute(name)));

    log.info("sessionId={}", session.getId()); //JSESSIONID의 값
    log.info("getMaxInactiveInterval={}", session.getMaxInactiveInterval()); //세션의 유효 시간
    log.info("getCreationTime={}", session.getCreationTime()); //세션 생성일시
    log.info("getLastAccessedTime={}", session.getLastAccessedTime()); //세션과 연결된 사용자가 서버에 접근한 최근 시간
    log.info("isNew={}", session.isNew()); //새로 생성된 세션인지 여부

    return "print session";
}

 

타임아웃 설정

HttpSession의 invalidate() 메서드를 호출함으로써 직접 세션을 삭제할 수 있지만, 해당 기능만 존재할 경우 로그아웃을 선택하지 않고 웹 브라우저를 종료했을 때 서버 입장에서 세션 데이터 삭제 시점을 판단하기가 어렵다. HTTP가 비연결성이기 때문에 서버 입장에서는 사용자가 브라우저를 종료했는지 인식할 수 없기 때문이다.

따라서 HttpSession은 사용자가 서버에 요청한 최근 시간을 기준으로 30분 간 세션을 유지하고, 해당 시간 동안 요청이 없을 경우 타임아웃으로 WAS는 해당 세션을 제거한다. 시간은 application.properties에 server.servlet.session.timeout값을 추가해 주면 변경할 수 있다.