인프런 커뮤니티 질문&답변
작성한 질문수
로그아웃 관련하여 질문이 있습니다.
해결된 질문
작성
·
206
1
ContextHolder에서 authentication객체를 가져오셔서 이것을 넘기면서 logout처리를 하셨는데 ContextHolder는 세션에 의해서 관리되고 있는 건가요?
그렇다면 세션 하나당 contextholder 하나가 들어가 있는 건가요?
답변 1
5
Authentication 객체는 SecurityContext 객체에 저장됩니다.
그리고 SecurityContext 객체는 SecurityContextHolder 객체가 감싸고 있는 구조입니다.
그리고 SecurityContext 는 Session 에 저장됩니다.
그래서 사용자가 인증에 성공했다면 사용자의 세션에는 SecurityContext 객체가 저장되어 있다고 보시면 됩니다.
요약하자면
SecurityContextHolder > ThreadLocal > SecurityContext > Authetication > UserDetails 로 이루어져 있습니다.
여기서 사용자의 세션에 SecurityContext 를 저장하는 이유는 사용자가 인증에 성공한 이후에 지속적으로 인증상태가 유지되도록 세션에서 SecurityContext 를 꺼내어 참조하기 위함입니다.
결론적으로 세션 당 SecurityContext 가 저장되어 있지만 스프링 시큐리티는 세션에 저장된 SecurityContext 를 다시 ThreadLocal 에 담아놓고 전역적으로 Authentication 를 참조하는 방식으로 사용되고 있습니다.
그래서 SecurityContextHolder.getContext() 로 실행하게 되면 ThreadLocal 에 있는 SecurityContext 가 참조됩니다.
감사합니다.