Spring Security OAuth 통합 로그인 시리즈

서론

이중 로그인 방지 신기하게도 스프링에서는 로그인 상태에서 재인증이 가능합니다. 즉, abc 라는 id 로 로그인 한 상태이지만, 해당 상태로 def 라는 id로 로그인이 가능합니다. 이 때 스프링 사이클에서는 로그아웃을 부르지 않습니다.

즉 abc때 기록해둔 세션들이 def에 남아있을 수 있습니다.
Authentication 외 다른 곳에 세션을 생성하지 않음으로써 어느정도 위험은 줄어들지만 근본적으로 이중 로그인을 막는 것이 맞다고 생각합니다. 불행하게도 필자는 스프링 사이클에 모든 auth에 관련되 미리실행되는 필터를 찾지 못 했습니다.

때문에 OAuth와 일반 인증 둘을 체크하기위해 별도의 필터를 만들었습니다.

필자는 리다이렉트보다 없는 페이지로 보여주는 것을 선호하기 때문에 404를 보냈습니다.

방법은 각자 고민해보시기 바랍니다.

public static class DuplicateAuthenticationFilter implements Filter
{
  final String prefixUrl;

  public DuplicateAuthenticationFilter(String prefixUrl)
  {
      this.prefixUrl = prefixUrl;
  }

  @Override
  public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)
          throws IOException, ServletException
  {
      if ( ((HttpServletRequest)req).getServletPath().startsWith(prefixUrl) )
      {
          Authentication auth = SecurityContextHolder.getContext().getAuthentication();

          // 룰을 하나라도 가지고 있다면 로그인으로 간주
          if (auth != null && !auth.getAuthorities().isEmpty())
          {
              // 404 를 보내준다.
              ((HttpServletResponse)res).sendError(404);
              return;
          }
      }
      chain.doFilter(req, res);
  }

  @Override
  public void init(FilterConfig filterConfig) throws ServletException
  {
  }

  @Override
  public void destroy()
  {
  }
}

적용

필자는 모든 url을 /sign-in 밑으로 넣었습니다.

예를들어 /sign-in (일반), /sign-in/facebook (페이스북), /sign-in/naver (네이버)

@Override
protected void configure(HttpSecurity http) throws Exception
{
  http
      // 각종 설정 생략
      .addFilterBefore(new DuplicateAuthenticationFilter("/sign-in"), BasicAuthenticationFilter.class);
}