CSRF 세션클러스터링

네

CsrfFilter 에서 CsrfToken 을 발행 및 저장하고 있는데 기본적으로는 세션에 저장을 하고 있습니다.

CsrfFilter.java 를 보시면 아래 구문이 나오는데

CsrfToken csrfToken = this.tokenRepository.loadToken(request);
boolean missingToken = (csrfToken == null);
if (missingToken) {
csrfToken = this.tokenRepository.generateToken(request);
this.tokenRepository.saveToken(csrfToken, request, response);
}

위 코드 보시면 tokenRepository 가 내부적으로 HttpSessionCsrfTokenRepository 를 사용해서 토큰을 세션으로부터 불러오거나 저장하고 있습니다.

HttpSessionCsrfTokenRepository. java 입니다.

@Override
public void saveToken(CsrfToken token, HttpServletRequest request, HttpServletResponse response) {
if (token == null) {
HttpSession session = request.getSession(false);
if (session != null) {
session.removeAttribute(this.sessionAttributeName);
}
}
else {
HttpSession session = request.getSession();
session.setAttribute(this.sessionAttributeName, token);
}
}

@Override
public CsrfToken loadToken(HttpServletRequest request) {
HttpSession session = request.getSession(false);
if (session == null) {
return null;
}
return (CsrfToken) session.getAttribute(this.sessionAttributeName);
}

그래서 세션 클러스터가 되어 있거나 세션서버를 별도로 운용하신다면 이중화 된 상황에서도 동일한 세션을 참조할 것으로 보이는데요..

개발환경에서도 레디스와 같은 통한 세션 서버를 두고 로컬 서버를 여러 개 띄워 이중화 환경을 만들어서 테스트 해 봐야 정확한 원인을 알 것 같습니다.