ABOUT ME

-

Today
-
Yesterday
-
Total
-
  • Session 사용법
    백엔드/SPRING MVC 2024. 10. 6. 22:49
    session에 대하여...

    Session을 왜 사용하는가?

    Cookie는 보안상의 커다란 이슈가 있었다.
    Cookie의 경우 웹 클라이언트에서 임의로 데이터를 조작하여 보낼 수 있는 치명적 단점이 존재
    하여, 세션을 사용하여 서버에 저장하고 클라이언트에게는 임의의 값을 사용하는 방법을 채택하기 위해 Session을 사용하게 되었다.
    • Session으로 UUID (랜덤한 값)을 발급하고 이를 이용하여 cookie와 같이 사용한다
    • 추정이 불가능한 값이므로, 보안상 안전도가 올라가게 된다
    • 서버의 경우, Session Respository를 따로 관리하게 된다

     

     

    1. 직접 Session 생성

     

    Session 생성

    private createSession(Object value, HttpServletResponse response){
        
        String sessionId = UUID.randomUUID().toString();
        // DB 또는 메모리에 저장
        store.put(sessionId, value);
    }

     

    • sessionId를 UUID값으로 만들어서, 추정하지 못하고 중복되지 않도록 ID 값으로 관리
    • Cookie로 실어서 UUID 값을 보내게 되면, store(session Repository)에서 관리하게 된다
    • session이 만료되거나, 갱신될경우 Session Repository의 데이터 값을 수정하면 된다

    Session ID , Cookie 전달

    public sendCookie(String sessionId, HttpServletResponse response){
        
        Cookie cookie = new Cookie("[CookieID]", sessionId);
        response.addCookie(cookie);
    }

     

     

     

     

    2. Servlet Session

    session 생성

    @PostMapping("test")
    public String test(@ModelAttribute Form form, BindingResult bindingResult, HttpServletRequest request){
        
        if(bindingResult.hasErrors()){
            return "home/form";
        }
        
        HttpSession session = request.getSession(default: true);
        session.setAttribute("[sessionId]" , [session에 저장할 value]);
        
        return "redirect:/";
    }
    • HttpSession 클래스를 이용하여, session을 생성한다
    • request.getSession(Boolean create)
      • 기본값 (true)
        • 세션이 있으면 기존 세션을 반환
        • 세션이 없으면 새로운 세션을 생성 후 반환
      • false
        • 세션이 있으면 기존 세션을 반환
        • 세션이 없으면 null을 반환

    session 제거

    @PostMapping("/test")
    public String sessionExpire(HttpServletRequest request){
        
        HttpSession session = request.getSession(false); // 세션 조회시에는 "false"로 하여 생성하지 않도록 해야함 (주의!)
        if ( session != null ){
            session.invalidate(); // session 제거
        }
        
        return "redirect:/";
    }
    • session 조회시 false로 해주어서, 세션을 생성하지 않도록 해야함
    • session.invalidate()를 해주지 않을경우, 세션이 삭제되지 않으므로 주의해야함

     

     

    3. Servlet Session 애노테이션

    session 조회

    @GetMapping("/test")
    public String test( @SessionAttribute(name= [Session key] , required = false) Object sessionValue, Model model)
    {
        
        if (sessionValue == null){
            return "/";
        }
        
        //session 유지시
        //원하는 페이지로 이동
        return "[go to page]";
    }
    • 애노테이션을 이용하여, 손쉽게 세션값을 가져올 수 있다

     

     

    Session TimeOut 설정

     

    • application.properties
    server.servlet.session.timeout="원하는 (초) 기록"

     

    •  session.getLastAccessedTime()
      • session 마지막 접근 시간을 갱신하며, 서버시간에 맞추어서 세션을 만료 시켜도 됨
      • session.invalidate() 를 사용하여 시간이 도래할경우 세션 만료 로직

     

     

    '백엔드 > SPRING MVC' 카테고리의 다른 글

    Spring Intercept  (0) 2024.10.07
    Servlet Filter  (0) 2024.10.07
    Cookie 사용법  (0) 2024.10.06
    Bean Validation  (2) 2024.09.25
    Validation (BindingResult, Validator) + @Validated  (1) 2024.09.25
Designed by Tistory.