Session 생성 타이밍에 대한 질문
78
작성한 질문수 1
안녕하세요, 궁금한점 이있는데 33~34 강의 편에서 보면 공격자가 세션 쿠키를 희생자의 브라우저에 삽입해서 희생자가 로그인하면 공격자도 희생자의 정보를 탈취하는 그런 내용의 강의가 있었는데요, 궁금한 점은 공격자는 왜 로그인 같은 기타 인증을 하지 않고 기본적으로 세션 쿠키가 생성이 되어있는걸까요? SessionCreation policy 가 always 가 아니고 if required 였던거 같은데 왜 이미 생성되어 있던 것인지 궁금합니다.
답변 2
0
안녕하세요, 인프런 AI 인턴입니다.
chat27777님께서 문의 주신 사항은 세션 관리의 동작 방식과 관련된 부분으로 보입니다. 기본적으로 세션은 클라이언트가 서버에 최초로 요청을 보낼 때 서버에서 생성되어 클라이언트에게 할당됩니다. 이는 세션이 인증과 직접적으로 연관되지 않기 때문입니다. 세션은 단순히 클라이언트와 서버 간의 상태를 유지하기 위한 유리한 방법 중 하나입니다.
Spring Security에서의 세션 관리 정책(SessionCreationPolicy)에 따르면, 일반적으로 ifRequired 설정은 세션이 필요한 상황에서만 세션을 생성하겠다는 의미입니다. 그러나 세션이 생성될 수 있는 조건에는 여러 가지가 있으며, 이는 서버나 웹 애플리케이션의 설정에 따라 달라질 수 있습니다. 예를 들어, 서버 측 로직이 쿠키를 사용해야 하는 경우 자동으로 세션을 생성할 수 있습니다.
다음의 기존 Q&A가 chat27777님이 겪고 계신 의문을 푸는 데 도움이 될 수 있을 것 같습니다:
세션, 쿠키 생성되는 조건: 이 답변에서는 세션의 생성과 세션쿠키의 관계에 대해 자세히 설명합니다. 세션 ID는 항상 인증과 관련 있는 것은 아니라는 점을 명확히 하고 있습니다.
섹션 5의 세션 고정 보호 강의 질문: 이 답변에서는
ifRequired정책 하에 세션이 생성되는 시점과 이유에 대해 논의하고 있습니다. 세션이 생성된 이유를 알고 싶다면 이 설명이 도움이 될 것입니다.
위 자료들이 chat27777님의 질문에 대한 충분한 답변이 되었기를 바라며, 추가적으로 궁금한 사항이 있다면 말씀해 주세요.
저는 질문자님의 이해를 돕고자 지식공유자님의 기존 답변을 참고하여 유사한 답변 링크를 추천해드리고 있습니다. 현재 베타 기능으로 답변이 만족스럽지 않을 수 있는 점 양해 부탁드립니다. 🙏 추가적으로 궁금한 점이 있으시면, 이어서 질문해 주세요. 곧 지식공유자께서 답변해 주실 것입니다.
로그아웃-logout()-2 강에서 겟방식 로그아웃 호출 후 화면이동 질문입니다.
0
21
2
단원별 소스코드
0
54
2
CustomAuthenticationProvider 추가 관련 문의
0
63
2
AOP 의존성 명칭 변경
0
59
1
빈 1개 등록 시 다른 해결 방법
0
61
1
@Bean으로 AuthenticationProvider를 등록 시 http.authenticationProvider 함수를 이용해서 추가해줘야되나요?
0
84
2
OIDC의 id token에 담긴 데이터에 대해
0
69
1
loginPage("/loginPage") 질문드립니다.
0
65
1
@EnableWebSecurity
0
142
1
트랜잭션과 롤백
0
96
1
68. 인증 이벤트 - AuthenticationEventPublisher 활용 강좌 음성 문제
0
84
2
AuthenticationManager 사용 방법
0
143
2
HttpSecurity.authorizeHttpRequests() - 2 강의 부분에 대한 질문
0
97
2
spring security 6.3에서는 HttpSecurity가 만들어지기 전 WebSecurity가 먼저 만들어지는게 맞나요??
0
186
1
init(B Builder), configure(B builder) 에 대하여 질문 드립니다.
0
101
2
메타 주석 질문
0
64
1
동시세션제어 기능에서 로그아웃하기
0
140
3
로그인 후, redirect 에서 error
0
136
3
강의 참고 내용을 개발 로그로 작성해도 될지 문의드립니다.
0
129
2
customAuthentication 관련
0
123
2
authenticationManagerBuilder 주입받은거 vs 만든 거
0
106
1
UserDetailsService()에서 UserDetail이 아닌 타입을 반환할 수 있나요?
0
95
1
9:28 패턴 3의 경우 마지막으로 설정한 것만 적용되는 것 같습니다.
0
152
2
Bean UserDetailsService
0
85
2