{"componentChunkName":"component---src-templates-post-template-jsx","path":"/works/posts/2020-10-20--001","result":{"data":{"site":{"siteMetadata":{"title":"Blog by Eunyoung","subtitle":"작업 기록 블로그","copyright":"© All rights reserved.","author":{"name":"EunYoung","twitter":"#"},"disqusShortname":"","url":"https://ssongey.github.io"}},"markdownRemark":{"id":"43ca1f60-31ec-5fce-8cee-3d7b85e18af9","html":"

의문사항

\n\n

1. session 설정 내용

\n\n
@EnableWebSecurity\npublic class SecurityConfig extends WebSecurityConfigurerAdapter {\n    @Override\n      protected void configure(HttpSecurity http) throws Exception {\n        http.sessionManagement()\n          .maximumSessions(1)\n          .maxSessionsPreventsLogin(true)\n          .sessionRegistry(sessionRegistry())\n        ;\n    }\n}
\n

2. DEBUG

\n

chrome 에서 admin 계정으로 로그인 후(SessionId를 부여 받음) 새탭에서 다시 admin 계정으로 로그인을 하면

\n

\n \n \n \n \n \n \n \n \n \n

\n

동일한 SessionId 에서 로그인 시도를 했기 때문에
\nConcurrentSessionControlAuthenticationStrategy.onAuthentication() 에서\n123라인의 allowableSessionsExceeded() 메소드(중복로그인 exception)를 호출하지 않고 종료가 된다.

\n

\n \n \n \n \n \n \n \n \n \n

\n

AbstractSessionFixationProtectionStrategy.onAuthentication() 에서\nSession Fixation Attack 방지로 인해 NewSessionId가 생성된다.
\n즉, 동일 로그인ID ‘admin’ 으로 SessionId, NewSessionId 각 2개가 생성되었다.

\n

\n \n \n \n \n \n \n \n \n \n

\n

탬 1, 탭2 의 브라우저 cookie 에는 마지막으로 생성된 NewSessionId가 부여되며, 기존 SessionId를 해제를 하지 못한 상태로 Client 에서 사라지게 된다.
\n즉, NewSessionId로 로그아웃을 하더라도 ‘admin’ 계정에 대한 SessionId가 존재하므로 재 로그인 시 중복된 로그인 에러가 뜨게 된다.

\n

3. 해결방안 : sessionFixation - none

\n\n

\n \n \n \n \n \n \n \n \n \n

\n
// migrateSession : 새로운 세션을 생성하고 기존의 세션 값들을 새 세션에 복사해준다. 기본값으로 설정되어 있다.\n// none : 아무것도 수행하지 않는다. 원래의 세션이 유지된다.\n// newSession : \"깨끗한\" 새로운 세션을 생성한다. 기존의 세션데이터는 복사하지 않는다.\n\nhttp.sessionManagement()\n  .sessionFixation().none()\n  .maximumSessions(1)\n  .maxSessionsPreventsLogin(true)\n  .sessionRegistry(sessionRegistry())
\n

4. JSESSIONID 는 안전한가?

\n","fields":{"tagSlugs":["/tags/spring-security/"],"slug":"/works/posts/2020-10-20--001"},"frontmatter":{"title":"[작업로그] 이중로그인 방지 (Spring Security)","tags":["SpringSecurity"],"date":"2020-10-20","description":""}}},"pageContext":{"slug":"/works/posts/2020-10-20--001"}},"staticQueryHashes":[]}