안녕하세요 세션 관련 질문...두번째 입니다.

@Override
protected void configure(HttpSecurity http) throws Exception {
        .logout()
        .clearAuthentication(true)
        .logoutRequestMatcher(new AntPathRequestMatcher("/api/v1/logout"))
        .logoutSuccessHandler(new LogoutHandler(homeService))

로그아웃 헨들러

@Slf4j
@RequiredArgsConstructor
public class LogoutHandler extends SimpleUrlLogoutSuccessHandler implements LogoutSuccessHandler {

    private final HomeService homeService;

    @Override
    @Transactional
    public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication)
        throws IOException, ServletException {

        LoginCode logout = homeService.logout(request, response);
        log.info("logout result : {}", logout.getDescription());

        ResponseCookie refreshToken = homeService.removeCookie(request);
        response.setHeader("Set-Cookie", refreshToken.toString());

        this.setDefaultTargetUrl("/login");
        super.onLogoutSuccess(request, response, authentication);
    }
}

이번에 QA를 진행해보아도

한 PC에서 로그인을 한 상태에서, 다른 QA분들 (약10분 정도) 가 로그인/로그아웃을 반복 수행했습니다.

동일하게 RoleVoter나, IpVoter쪽에서 context 검사 후 AuthenticationEntryPoint 이쪽에 걸렸습니다.

removeCookie 쪽에는 단순히 쿠키의 age를 0으로 재생성해주는 쿠키 제거 function 입니다.

로그아웃 과정에서 어떤 문제가 있길래 모든 context가 처리 되는지 알고 싶습니다..

감사합니다...!

질문 update

clearAuthentication

이부분이 혹시 전체 authentication을 삭제가 가능한가 싶어서 내부를 타고 들어가도

현재 인증 정보를 제거한다라는 로직 같기만 하고 제가 우려한 부분은 아니더라구요.

ip hash등의 임시 방편으로 이것이 해결이 되는 건가 싶었는데.

금일 라이브QA에서도 동일한 현상이 발생 했습니다.

강사님의 질문에 대해서 제가 정리를 해보면

request가 들어오면 filter에서 제가 생성한 context 로 rolevoter 등이 체크를 하고 response 할 때 context가 없어지는 것 같은데... 일반적인 java RequestContext 같은 것과 같은 의미로 전 이해했습니다.

그럼 logout쪽에 clearAuthentication 이나 logoutHandler쪽에 SecurityContextHoler.getContext().setAuthentication(null);

이런 적업을 안해줘도 되는 걸까요??

어차피 하나의 request 안에서만 생성 되고 없어지는 context 이니깐요.

감사합니다.

수강생 올림.

https://www.inflearn.com/questions/53657 이거랑 비슷한 이슈인 것 같기도 하구요..

추가질문 update------------------------------------------

안녕하세요 강사님.

SecurityContextHolder에 아무 Context가 없는 상황에서.

clearContext()를 하면 어떤 영향이 있나요?..

전 당연히 아무 영향이 없을 것이다 생각하고,

로그인 API에 넣어 두었는데요.

QA분과 테스트 과정에서 이부분을 주석처리 해버리니까

일단 발생하지 않습니다.

내일 많은 QA분이 있으실 때 더 정확한 테스트가 되겠지만..

아무 context가 없을때 clearContext를 호출하는게 왜 영향이 있는지 모르겠습니다.

추가로. security의 기본 context 전략이

ThreadLocal이라는 것을 저도 코드 타고 들어가보면서 확인했는데요.

혹시 몰라서

@Override
protected void configure(HttpSecurity http) throws Exception

에

SecurityContextHolder.setStrategyName(SecurityContextHolder.MODE_THREADLOCAL);

를 추가 하였습니다.

좋은 하루 되세요. 마음이 급해서 질문이 너무 난잡하네요.

죄송합니다.