김영한 강사님의 스프링 MVC 2편 - 로그인 처리하기 (세션동작 방식)를 보고 정리하였습니다.

HttpSession이란?

- 서블릿에서 세션 관리를 위해 제공하는 클래스이다.

- 서블릿을 통해 HttpSession을 생성하면 jsessionid라는 이름의 쿠키를 생성하게 되고
추정 불가능한 랜덤값을 갖는다.

HttpSession의 주요 메서드

- request.getSession(true)

  => 세션이 있으면 기존 세션을 반환

  => 세션이 없으면 새로운 세션을 생성 후 반환

- request.getSession(false)

  => 세션이 있으면 기존 세션을 반환

  => 세션이 없으면 새로운 세션을 생성하지 않고 null을 반환

- session.setAttribute(name, value)

  => 세션에 데이터를 보관할 때 사용

  => 하나의 세션에 여러 값을 저장할 수 있음

세션과 관련된 스프링의 부가기능

- @SessionAttribute

  => 세션을 더 편리하게 사용할 수 있도록 지원하는 어노테이션

  => 세션을 찾고, 세션에 있는 데이터를 찾는 과정을 한번에 처리해줌

세션이 제공하는 정보

- sessionId: 세션 id

- maxInactiveInterval: 세션의 유효시간 (기본값: 30분)

- creationTime: 세션 생성일시

- lastAccessTime: 세션과 연결된 사용자가 최근에 서버에 접근한 시간

  => 위 시간 이후로 timeout 시간이 지나면 WAS가 내부에서 세션을 제거한다.

- isNew: 새로 생성된 세션인지 여부

세션의 종료 시점

- 만약 timeout이 30분으로 잡혀있다면 사용자가 서버에 최근에 요청한 시간을 기준으로
계속 30분으로 유지해준다.

- 위 기능으로 인해 어떤 사용자가 서비스를 계속 사용중일 때 30분마다 로그인해야 하는 번거로움이 사라진다.

주의할 점

- 세션에는 최소한의 데이터만 보관해야한다.

  => ex) 사용자 정보의 경우 id, email, 이름으로만 구성되어있는 객체로 저장

- 보관한 데이터 용량 * 사용자 수로 인해 메모리 사용량이 늘어나 장애로 이어질 수 있다.

- 세션 유효시간을 너무 길게 잡으면 메모리 문제가 발생할 수 있으므로 적당한 시간을 선택하는 것이 좋다.

 => 기본이 30분이라는 것을 기준으로 고민을 해보면 좋다.