jwt 토큰방식에서의 세션 미사용 질문

네

jwt 기술을 사용한다는 의미는 여러가지가 있겠지만 그 중 하나는 세션을 사용하지 않기 위함입니다.

예를 들어 서버를 여러대를 운영할 경우에 세션같은 경우 사용자의 동일한 세션이 서버간에 공유 즉 클러스터가 되어야 하는 문제가 생기는데 jwt 는 토큰 자체에 인증기능을 구현할 수 있기 때문에 어떤 서버로 접속하더라도 동일한 토큰값이라면 서버개수와 상관없이 인증시스템을 구현할 수 있습니다.

그 외에도 여러 장점이 있습니다.

다만 강의에서 세션을 사용할 필요가 없다고 한 것은 강제나 의무가 아니며 jwt 를 사용함에 있어서 근본 취지가 중요하다는 의미로 해석하시면 되겠습니다.

그리고 스프링 시큐리티에서 SecurityContext 에 인증객체를 저장하는 것은 세션과는 아무런 상관이 없습니다.

정확하게는 ThreadLocal 과 관련이 있습니다. 

SecurityContext 는ThreadLocal  에 저장하는데 ThreadLocal 은  세션의 범위가 아닌 Request 범위에 속하기 때문에 범위가 세션보다 범위가 작습니다.

강의에서도 설명하지만 SecurityContext 를 SecurityContextHolder 에 담을 때 세션에 SecurityContext 가 존재할 경우에 세션에서 꺼내어 오지만 세션에 존재하지 않을 경우 새롭게 SecurityContext 를 만들어서 SecurityContextHolder 에 저장합니다.

그리고 SecurityContextHolder 는 ThreadLocal  를 가지고 있습니다.

즉 jwt 를 사용하던 안하든, 세션을 사용하던 안하든 SecurityContext 객체에 Authentication 객체가 저장되어 있지 않고  null 이라면 마지막 권한을 체크하는 FilterSecurityInterceptor 에서 결국 막히게 됩니다.

SecurityContextHolder  > ThreadLocal > SecurityContext > Authentication > UserDetails 

의 관계를 잘 파악하시면 됩니다.