2021-03-31-TIL
2021-03-31-TIL
오늘 다룬 것
에러 코드로 예외 분기하기
ajax로 카운트하기 서버에서 값만 가져오는 방식으로
url 디코딩 안하면 에러남
에러 코드로 분기한다는 것은 예외 클래스를 상황마다 늘리지 않고, 예외에 에러 코드를 담아 그 코드로 처리 방법을 나누는 방식이다. 응답에도 같은 코드를 내려 주면 클라이언트가 메시지 문자열이 아니라 코드로 화면 처리를 정할 수 있다.
AJAX로 카운트를 갱신할 때 서버가 HTML 조각 대신 숫자 값만 돌려주면, 클라이언트는 그 값으로 화면의 숫자만 바꾸면 된다. 주고받는 데이터가 작고, 화면 구성은 클라이언트가 맡게 되어 역할이 나뉜다.
URL에는 쓸 수 있는 문자가 정해져 있어서 한글이나 공백 같은 문자는 인코딩된 형태(%EC%95%88 같은 퍼센트 인코딩)로 전달된다. 서버가 받은 값을 디코딩하지 않고 쓰면 인코딩된 문자열 그대로 비교하거나 저장하게 된다. java.net.URLDecoder는 application/x-www-form-urlencoded 형식으로 인코딩된 문자열을 원래대로 되돌리는 유틸리티 클래스다.
쿠키로 세션 직접 구현해 보기
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
package honux.spring.playground.web;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.util.HashMap;
import java.util.Map;
import java.util.Random;
@RestController
@RequestMapping("/login")
public class UserController {
//sessionid, userid;
private Map<String,String> session = new HashMap<>();
@GetMapping
public MyResponse welcome() {
return new MyResponse("ok", "Kite");
}
@GetMapping("/check")
public MyResponse check(HttpServletRequest req) {
String key = "sid";
Cookie[] cookies = req.getCookies();
String uid = "Null";
for(Cookie c: cookies) {
if (c.getName().equals(key)) {
uid = session.getOrDefault(c.getValue(), "Null");
System.out.println("check: " + c.getValue() + ": " + uid);
}
}
return new MyResponse("ok", "login id: " + uid);
}
@PostMapping
public MyResponse login(String id, HttpServletResponse response) {
System.out.println(id);
Random r = new Random();
String sid = Integer.toString(r.nextInt());
session.put(sid, id);
System.out.println("login: " + sid+ ": " + session.get(sid));
response.addCookie(new Cookie("sid", sid));
return new MyResponse("ok","sid: " + sid);
}
}
서블릿 컨테이너의 HttpSession을 쓰지 않고 세션의 원리를 직접 구현해 본 코드다. 흐름은 세 단계다.
POST /login: 아이디를 받으면 무작위 값으로 세션 id(sid)를 만들고, 서버의Map에sid → 아이디를 저장한다. 그리고sid를 쿠키로 응답에 실어 보낸다.- 브라우저는 이후 같은 서버로 보내는 요청마다 이 쿠키를 자동으로 함께 보낸다.
GET /login/check: 요청의 쿠키에서sid를 찾아Map에서 아이디를 꺼낸다. 없으면"Null"이다.
서버는 아이디가 아니라 의미 없는 sid만 클라이언트에 넘기고, 실제 사용자 정보는 서버 쪽 Map에 둔다. 쿠키 값을 바꿔 다른 사람 행세를 하려면 남의 sid를 알아내야 한다.
연습용 코드라서 실제 서비스에 그대로 쓰기에는 다음 문제가 있다.
req.getCookies()는 Javadoc에 따르면 요청에 쿠키가 하나도 없으면 빈 배열이 아니라null을 돌려준다. 첫 방문 사용자가/login/check를 호출하면for문에서NullPointerException이 난다.java.util.Random은 Javadoc이 밝히듯 암호학적으로 안전하지 않다. 세션 id는 추측되면 바로 다른 사용자로 로그인되는 값이므로SecureRandom으로 만들어야 한다.nextInt()는 범위도int하나뿐이라 충돌과 추측에 약하다.- 스프링 빈은 기본적으로 싱글톤이라 이 컨트롤러 인스턴스 하나를 모든 요청 스레드가 함께 쓴다. 그런데
HashMap은 Javadoc에 따르면 동기화되지 않으므로, 여러 스레드가 동시에 수정하면 외부에서 동기화해야 한다.ConcurrentHashMap을 쓰는 편이 맞다. - 쿠키에
setHttpOnly(true)를 지정하면 JavaScript에서 쿠키를 읽을 수 없게 표시할 수 있다. 세션 id 쿠키에는 지정해 두는 것이 좋다. - 세션에 만료 시간이 없어
Map이 계속 커진다.
이 글은 저작권자의 CC BY 4.0 라이선스를 따릅니다.
댓글
아직 댓글이 없습니다