[실습] 인증 기능을 로컬 세션 스토리지로 구현했을 때 발생하는 문제점 - 1

JSCODE 박재성

2026. 03. 02.

✅ 실습

1. 코드 살펴보기

실습의 편의를 위해 일부 코드를 작성해두었다.

AuthController

@RestController
@RequestMapping("/auth")
public class AuthController {

    @PostMapping("/login")
    public String login(
        @RequestBody LoginRequestDto loginRequest,
        HttpSession session
    ) {
        // 간단한 예제로 실습하기 위해, 로그인 할 사용자 정보 조회를 하드코딩으로 대체.
        // 실제 구현에서는 로그인을 하기 위한 정보를 DB에서 조회해야 함.
        String account = "jscode";
        String password = "password";
        String name = "박재성";
        long userId = 1;

        if (account.equals(loginRequest.getAccount()) && password.equals(loginRequest.getPassword())) {
            // 로그인 성공 시 세션에 사용자 정보(userId, name 등) 저장한다.
            // 세션 정보는 Spring Boot에 내장된 톰캣의 인메모리에 저장된다.
            session.setAttribute("userId", userId);
            session.setAttribute("name", name);

            // 간단한 실습을 위해 String으로 심플하게 응답.
            return "로그인 성공";
        } else {
            return "로그인 실패";
        }
    }

    @PostMapping("/logout")
    public String logout(HttpSession session) {
        session.invalidate();
        // 간단한 실습을 위해 String으로 심플하게 응답.
        return "로그아웃 성공";
    }

    // 내 정보 조회 API
    @GetMapping("/me")
    public String status(HttpSession session) {
        Long userId = (Long) session.getAttribute("userId");
        String name = (String) session.getAttribute("username");

        // 간단한 실습을 위해 String으로 심플하게 응답.
        if (userId == null) {
            return "로그인이 필요합니다.";
        } else {
            return "userId : " + userId + ", " + "name : " + name;
        }
    }
}

 
LoginRequestDto

@Getter
public class LoginRequestDto {
    private String account;
    private String password;
}

 

2. Spring Boot 서버 실행하기



 

3. Postman으로 API 잘 작동하는 지 테스트해보기
1. 로그인 API





로그인 API로 요청을 보내면 Response Header에 Set-Cookie의 값이 날라오기 때문에 Postman에 Cookie가 자동으로 저장이 된다. 그래서 다음 요청을 보낼 때 해당 Cookie 값을 포함시켜서 요청을 보내게 된다.
 
2. 내 정보 조회 API



Request를 보내기 전에 Header를 열어보면 Cookie 값이 자동으로 담겨져있는 것을 확인할 수 있다. 그러고 내 정보 조회 API에 요청을 보내보면 정상적으로 userId와 name이 응답값으로 날라오는 걸 볼 수 있다.
 
3. 로그아웃 API → 내 정보 조회 API
‘로그아웃 API’를 호출한 뒤에 ‘내 정보 조회 API’를 호출해보면 정상적으로 로그아웃이 된 걸 확인할 수 있다.