SessionManagementFilter 동작여부

네

사용자가 직접 인증 필터를 생성할 경우 그리고 AbstractAuthenticationProcessingFilter 를 상속받았을 경우에는 동시세션을 제어하는 클래스를 생성해서 넣어주어야 합니다.
기본은 private SessionAuthenticationStrategy sessionStrategy = new NullAuthenticatedSessionStrategy(); 으로 되어 있습니다. 즉 Null 기능만 하는 클래스입니다.

스프링 시큐리티에서 사용하는 formLogin 같은 경우에는 초기화 될 때 시큐리티가 자동으로 설정해 주지만 사용자가 직접 필터를 생성할 경우에는 수동으로 넣는 작업을 해 주어야 합니다.

일단

SecurityConfig 와 AjaxLoginProcessingFilter 에 추가 코드가 필요합니다.

먼저 SecurityConfig 에서 HttpSecurity 객체를 AjaxLoginProcessingFilter 로 전달해 주어야 하고 AjaxLoginProcessingFilter 에서 HttpSecurity 객체를 참조해서 SessionAuthenticationStrategy 을 얻으면 됩니다.

SecurityConfig.java

@Bean

public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {

생략...

http.addFilterBefore(ajaxLoginProcessingFilter(http), UsernamePasswordAuthenticationFilter.class);

생략...

}

// @Bean => 빈으로 생성하지 않아야 합니다. 이유는 HttpSecurity 객체를 수동으로 넣어 주어야 하기 때문입니다.
public AjaxLoginProcessingFilter ajaxLoginProcessingFilter(HttpSecurity http) {

AjaxLoginProcessingFilter filter = new AjaxLoginProcessingFilter(http); // HttpSecurity 를 생성자로 전달

filter.setAuthenticationManager(ajaxAuthenticationManager());

filter.setAuthenticationSuccessHandler(authenticationSuccessHandler());

filter.setAuthenticationFailureHandler(authenticationFailureHandler());

return filter;

}

AjaxLoginProcessingFilter.java

public class AjaxLoginProcessingFilter extends AbstractAuthenticationProcessingFilter {

private static Logger logger = LoggerFactory.getLogger(AjaxLoginProcessingFilter.class);

private final HttpSecurity http;

public AjaxLoginProcessingFilter(HttpSecurity http) {

super(new AntPathRequestMatcher("/login", "POST"));

this.http = http;

}

@Override

public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response)

throws AuthenticationException, IOException {

// SessionAuthenticationStrategy 구현체를 얻어와서 설정한다 SessionAuthenticationStrategy sessionAuthenticationStrategy = http.getSharedObject(SessionAuthenticationStrategy.class);

if (sessionAuthenticationStrategy != null) {

setSessionAuthenticationStrategy(sessionAuthenticationStrategy);

}

일단 이렇게 되면 SessionAuthenticationStrategy 는 정상적으로 작동을 하는데 인텔리제이에서 ajax.http 프로그램으로 테스트하면 요청할 때마다 새로운 세션이 생성이 되어서 동시적으로 세션이 중복되는 상황이 재현되지 않습니다.

브라우저에서 자바스크립트로 테스트 해 보시길 권해 드립니다.

소스 공유가 가능할까요? 확인이 필요할 것 같습니다.