자림이

예전 사이트에 적용한 security를 사용한 중복 로그인 방지를 작성해 보려고 해요

요구사항

• 관리자 계정은 로그인이 한 명만 가능하고 중복 로그인하면 이전 사용자는 강제 로그아웃
• 일반 사용자는 설정에 맞게 중복 로그인이 가능 로그인 사용자가 꽉 차면 로그인 불가

그래서 org.springframework.security.core.session.SessionRegistry를 이용하여 구현을 했어요.

protected void configure(HttpSecurity http) throws Exception {
	http.authorizeRequests().antMatchers("/ex/**").permitAll().anyRequest().authenticated();
	http.authorizeRequests().anyRequest().authenticated().and().formLogin().successHandler(
	        defaultLoginSuccessHandler).failureHandler(defaultLoginFailureHandler).loginPage(loginPage).failureUrl(
	                loginPage + "?error").permitAll().usernameParameter("id").passwordParameter("pwd");
	http.logout().logoutUrl("/logout").logoutSuccessUrl(loginPage).addLogoutHandler(defaultLogoutHandler)
	        .invalidateHttpSession(true).permitAll();
	// X-Frame-Options: DENY 설정하지 않음(다운로드컴포넌트를 위해)
	http.headers().frameOptions().disable();
	http.addFilterBefore(duplicatLoginFilter(), UsernamePasswordAuthenticationFilter.class);
	http.sessionManagement().maximumSessions(500).maxSessionsPreventsLogin(true).sessionRegistry(sessionRegistry)
	        .expiredUrl("/");
	http.csrf().disable();
}

protected DuplicateLoginFilter duplicatLoginFilter() throws Exception {
	
    return new DuplicateLoginFilter(sessionRegistry, loginSecurityService, loginPage, siteMapper);
    
}

@Bean
public PasswordEncoder passwordEncoder() {
	PasswordEncoder encoder = new CustomPasswordEncoder();
    return encoder;
    
}

세션은 총 500개로 잡았어요. 패스워드는 SHA256를 사용했어요.

public class DuplicateLoginFilter extends GenericFilterBean {

	private SessionRegistry sessionRegistry;
	private UserDetailsService userDetailsService;
	private String loginProcessUrl;
	private SiteMapper siteMapper;
	public DuplicateLoginFilter(final SessionRegistry sessionRegistry, final UserDetailsService userDetailsService,
	    final String loginProcessUrl, final SiteMapper siteMapper) {
		this.sessionRegistry = sessionRegistry;
		this.userDetailsService = userDetailsService;
		this.loginProcessUrl = loginProcessUrl;
		this.siteMapper = siteMapper;
	}
	@Override
	public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)
	    throws IOException, ServletException {
		HttpServletRequest request = (HttpServletRequest) req;
		HttpServletResponse response = (HttpServletResponse) res;
		// post 방식에 로그인 요청이 아닌 경우 작업종료
		if (!new AntPathRequestMatcher(loginProcessUrl, "POST").matches(request)) {
			chain.doFilter(req, res);
			return;
		}
		log.info("login check filter has been requested.");
		boolean error = false;
		log.debug("로그인 세션수 -> {}", String.valueOf(sessionRegistry.getAllPrincipals().size()));
		try {
			String username = request.getParameter("id");
			String password = request.getParameter("pwd");
			// 패스워드 암호화
			byte pbCipher[] = new byte[32];
			SHA256Utils.SHA256_Encrpyt(password.getBytes("UTF-8"), password.length(), pbCipher);
			StringBuffer encPassword = new StringBuffer();
			for (int i = 0; i < 32; i++) {
				String hex = Integer.toHexString(0xff & pbCipher[i]);
				if (hex.length() == 1) {
					encPassword.append('0');
				}
				encPassword.append(hex);
			}
			UserDetails details = userDetailsService.loadUserByUsername(username);
			LoginUser principal = (LoginUser) details;
			// 사용자 정보 일치여부
			if (details.getPassword().equals(encPassword.toString())) {
				// 동일한 로그인 세션 체크
				log.debug(principal.toString());
				//public 공용, private 개인
				String idType = principal.getIdType();
				//공용일경우 로그인 제한 count
				int connCnt = principal.getConnCnt();
				log.debug("connCnt==" + connCnt);
				List<SessionInformation> sessionInfo = sessionRegistry.getAllSessions(principal, false);
			
				if ("private".equals(idType)) {
					//개인용 일경우 기존 정보가 있을경우 만료 후 로그인
					Iterator<SessionInformation> session = sessionInfo.iterator();
					while (session.hasNext()) {
						SessionInformation sessionInformation = session.next();
						LoginUser user = (LoginUser) sessionInformation.getPrincipal();
						if (user.getUsername().equals(username)) {
							sessionInformation.expireNow();
							break;
						}
					}
				} else {
					Iterator<SessionInformation> session = sessionInfo.iterator();
					int loginCnt = 1;
					while (session.hasNext()) {
						SessionInformation sessionInformation = session.next();
						LoginUser user = (LoginUser) sessionInformation.getPrincipal();
						if (user.getUsername().equals(username)) {
							if (connCnt <= loginCnt) {
								error = true;
								break;
							}
							loginCnt++;
						}
					}
				}
			} else {
				//사용자 정보 불일치
				MessageAlertUtils.alertRedirectMsg(response, "아이디 또는 비밀번호를 다시 확인하세요.", "/auth/login?error");
				return;
			}
		} catch (UsernameNotFoundException e) {
			MessageAlertUtils.alertRedirectMsg(response, "아이디 또는 비밀번호를 다시 확인하세요.", "/auth/login?error");
			//error = false;
		}
		log.debug("error==" + error);
		if (!error) {
			chain.doFilter(req, res);
			return;
		}
		MessageAlertUtils.alertRedirectMsg(response, "접속 가능한 인원수가 초과 되었습니다.", "/auth/login?error");
		return;
	}
}

위는 중복체크 filter 전체 소스예요

실제 중복 처리하는 부분은 아래 소스예요

Iterator<SessionInformation> session = sessionInfo.iterator();
while (session.hasNext()) {
	SessionInformation sessionInformation = session.next();
	LoginUser user = (LoginUser) sessionInformation.getPrincipal();
		
	//현재 로그인 된 사용자가 있으면 기존사용자 세션만료
	if (user.getUsername().equals(username)) {
		sessionInformation.expireNow();
		break;
	}
}

//해당계정 설정된 유저수가 넘으면 로그인 차단
Iterator<SessionInformation> session = sessionInfo.iterator();
int loginCnt = 1;
while (session.hasNext()) {
	SessionInformation sessionInformation = session.next();
	LoginUser user = (LoginUser) sessionInformation.getPrincipal();
	if (user.getUsername().equals(username)) {
		if (connCnt <= loginCnt) {
			error = true;
			break;
		}
		loginCnt++;
	}
}

각 요구사항에 맞게 처리한 로직이에요

직접 적용한 소스 기반으로 작성해봤어요