spring httpsession 동작방식?

Question

HttpSession을 이용해서 httpSession.SetAttribute("key", value) 하여 세션을 이용하려고 하는데

이 세션이 저장되는 위치가 어디인가요..?

그리고 "key" 값을 userName으로해서 모든 클라이언트의 세션 key값이 userName인데

브라우저마다 겹치지 않네요! 내부적으로 로직이 있어서 구분되는 건가요?

kurien · Accepted Answer

Spring HttpSession의 동작방식이라기 보다는, 모든 backend 언어의 세션의 동작 방식이 동일합니다.

서버에서 세션을 사용 설정한 경우, 클라이언트가 해당 서버에 접속할 때 서버에는 세션 파일을 하나 생성합니다.

그리고 서버는 브라우저에게 JSESSIONID라는 쿠키를 전송합니다.(해당 쿠키 명은 변경할 수 있습니다.)

이제 브라우저는 다른 페이지로 이동할 때마다, JSESSIONID를 서버로 함께 전송합니다.

그럼 서버는 JSESSIONID 쿠키 값을 보고 A 브라우저는 A 세션이 매칭 되어있구나,라고 하고 어떤 사용자인지 체크할 수 있습니다.

kurien · Answer

브라우저마다 세션 값이 겹치지 않는 이유는 브라우저 별로 별도의 쿠키를 관리하며, 쿠키를 별도로 관리하기 때문에 서버 입장에서는 같은 사용자로 인식할 수 없습니다.

로그인 기능을 만들더라도 다른 브라우저에서 같은 아이디로 접속하게 되더라도 JSESSIONID는 전혀 달라지게 됩니다.

종팡 · Answer

@kurien

저렇게 쿠키를보내고 클라이언트가 요청시 서버에 쿠키를 보내는 과정이 코드작성없이 실행된다는건가요?

종팡 · Answer

그리고 세션 설정시 서버의 메모리에 저장되어 클라이언트가 요청시 서버의 메모리에 저장된 세션과 비교하는게 맞나요?

kurien · Answer

종팡 쿠키는 클라이언트가 요청해서 보내는 것이 아니라, 세션(세션 아이디를 갖는 쿠키)가 없는 클라이언트라면 서버에서 무조건 보내줍니다.(서버에 세션 설정이 선행 되어있는 경우)

또한, 세션 설정 시 서버의 메모리가 아니라 보조기억장치(HDD, SSD 등의 저장장치)에 저장되는 것으로 알 고 있습니다.(PHP의 경우 확실하지만, 자바(서블릿)의 경우 어디에 저장하는지 아직 확인을 안해봤네요.

kurien · Answer

종팡 아마 왜 이렇게 복잡하게 세션을 사용하는건지 이해가 안되실 수 있는데요.

HTTP의 경우 클라이언트가 서버를 호출(url에 따라 특정 페이지를 호출)하고 연결이 끊어집니다.

그럼 클라이언트가 다른 페이지로 넘어갈 때 서버는 이 클라이언트가 방금 전에 들어온 클라이언트인지, 다른데서 들어온 클라이언트인지를 확인 할 방법이 없는거죠.

그래서 웹 초기에는 대부분 쿠키를 통한 인증방식을 채택했습니다.(국내 기준)

로그인(아이디/비밀번호)을 통해 인증을 하고, 해당 값을 클라이언트의 브라우저에 쿠키로 입력하고, 그 브라우저로 접속하게 되면 이 회원의 아이디/비밀번호 값을 쿠키를 통해 알 수 있으니까요.

대신 여기서 보안적인 문제가 발생합니다.

로그인을 하고 로그아웃을 하면 괜찮은데, 대부분의 사용자들이 로그아웃을 하지 않고 브라우저를 종료하게 되는데, 쿠키는 각 클라이언트의 브라우저에 저장이 되기 때문에 PC 방 등 여러사람이 이용하는 곳에선 브라우저 내의 쿠키를 확인해서 아이디와 비밀번호를 볼 수 있기 때문에 해킹 문제가 있었죠.

그래서 결국 세션을 이용해서 중요 데이터는 서버가 관리하고, 그 세션의 ID 값(기본키)을 클라이언트의 브라우저에 전달하여 인증을 구현하고 있습니다.

kurien · Answer

물론 세션을 통한 인증에도 해킹 방법은 있습니다.

Session Hijacking(세션 탈취)이라는 공격기법이 있는데 실제 사용하는 클라이언트의 브라우저의 쿠키를 확인하여 세션 ID를 탈취하고 해커는 자신의 브라우저에 세션 ID를 쿠키로 입력하게 되면, 서버는 실제 사용자인지 해커인지 분간할 수 없게되어 세션을 제공해줍니다.(로그인 되어있던 세션이라면, 해커도 로그인이 됩니다.)

이를 막는 방법은 로그인을 할 때 특정할 수 있는 정보(IP, Useragent 등)를 세션에 함께 저장하고, 페이지를 넘어갈 때마다 체크를 하는 방법이 있습니다.

자세한 방법들은 직접 검색해보시길 추천드립니다.

종팡 · Answer

@kurien

말씀해주신거 완벽히 이해됬습니다! 감사합니다 ㅎㅎㅎ

그 클라이언트가 요청에 관한 것은 세션이 없는경우 서버 -> 클라이언트로 세션ID값을 보내주고 그 다음 클라이언트가 서버에 Resource를 요청하는 경우, 클라이언트 단에서 세션ID를 보내주는 것을 따로 구현해야하는지를 여쭤보려고 한 거였습니다!

kurien · Answer

종팡 해당 내용은 Servlet에서 지원하고 있습니다.

서버는 그냥 HttpServletRequest에서 getSession을 통해서 HttpSession을 가져다가 쓰시면 됩니다.

클라이언트에서는 브라우저가 서버의 자원을 요청 시 항상 쿠키를 헤더에 함께 포함시키기 때문에 별도의 작업은 필요 없습니다.

단 브라우저에서 "Cookie 사용안함" 시 세션이 유지되지 않습니다.

종팡 · Answer

감사합니다! 이해쏙쏙되게 설명잘해주시네요 ㅎㅎㅎ휴ㅠㅠㅠㅠ

spring httpsession 동작방식?

10개의 답변

Q&A 목록