Redis 세션 관리 — Spring Session으로 분산 세션 구현하기

┌──────────┐
│  Client  │
└────┬─────┘
     │ (Cookie: SESSION=abc123)
     ▼
┌──────────────┐
│ Load Balancer│  ← 어떤 서버로 보내든 상관없음
└──┬────────┬──┘
   │        │
   ▼        ▼
┌──────┐ ┌──────┐
│ App1 │ │ App2 │  ← 서버 로컬에 세션을 저장하지 않음
└──┬───┘ └──┬───┘
   │        │
   ▼        ▼
┌──────────────┐
│    Redis     │  ← 세션 저장소 (공유)
│  (Session)   │
└──────────────┘

// 기존 코드 — 전혀 수정할 필요 없음
@GetMapping("/dashboard")
public String dashboard(HttpSession session) {
    // Spring Session이 내부적으로 Redis에서 조회/저장
    User user = (User) session.getAttribute("loginUser");
    return "dashboard";
}

요청 수신
  │
  ▼
SessionRepositoryFilter
  │ HttpServletRequest를 래핑
  ▼
컨트롤러 (session.getAttribute / setAttribute)
  │ Redis에서 읽기/쓰기
  ▼
요청 완료
  │
  ▼
SessionRepositoryFilter.commitSession()
  │ 변경된 세션 속성을 Redis에 저장
  ▼
응답 전송

// build.gradle
dependencies {
    implementation 'org.springframework.boot:spring-boot-starter-data-redis'
    implementation 'org.springframework.session:spring-session-data-redis'
}

spring:
  data:
    redis:
      host: localhost
      port: 6379
  session:
    store-type: redis          # 세션 저장소를 Redis로 지정
    timeout: 30m               # 세션 타임아웃 (기본 30분)
    redis:
      namespace: spring:session  # Redis 키 prefix (기본값)

// Spring Boot 자동 설정을 사용하면 이 어노테이션은 선택사항
// 커스텀 설정이 필요할 때만 사용
@EnableRedisHttpSession(maxInactiveIntervalInSeconds = 3600)
@Configuration
public class SessionConfig {
}

@RestController
public class SessionTestController {

    @GetMapping("/session/set")
    public String setSession(HttpSession session) {
        session.setAttribute("username", "libra26");
        return "세션 저장 완료. ID: " + session.getId();
    }

    @GetMapping("/session/get")
    public String getSession(HttpSession session) {
        String username = (String) session.getAttribute("username");
        return "세션에서 조회: " + username;
    }
}

# 세션 관련 키 전체 조회 (운영 환경에서는 SCAN 사용)
redis-cli KEYS "spring:session:*"

# 결과 예시
1) "spring:session:sessions:abc123-def456-..."
2) "spring:session:sessions:expires:abc123-def456-..."
3) "spring:session:expirations:1711612800000"

# 세션 Hash의 내용 확인
redis-cli HGETALL "spring:session:sessions:abc123-def456-..."

# 결과 예시
 1) "creationTime"
 2) "1711612345678"
 3) "lastAccessedTime"
 4) "1711612567890"
 5) "maxInactiveInterval"
 6) "1800"
 7) "sessionAttr:username"
 8) "\xac\xed\x00\x05t\x00\x07libra26"  # JDK 직렬화된 값

@Configuration
public class SessionConfig {

    @Bean
    public RedisSerializer<Object> springSessionDefaultRedisSerializer() {
        // Spring Session이 이 빈 이름으로 직렬화기를 찾음
        ObjectMapper mapper = new ObjectMapper();
        mapper.activateDefaultTyping(
            mapper.getPolymorphicTypeValidator(),
            ObjectMapper.DefaultTyping.NON_FINAL,
            JsonTypeInfo.As.PROPERTY
        );
        return new GenericJackson2JsonRedisSerializer(mapper);
    }
}

redis-cli HGET "spring:session:sessions:abc123..." "sessionAttr:username"
# 결과: "\"libra26\""  ← 사람이 읽을 수 있음

// 나쁜 예 — 대량 데이터를 세션에 저장
session.setAttribute("orderHistory", hugeOrderList);  // 매 요청마다 직렬화/역직렬화

// 좋은 예 — 식별자만 저장하고 필요할 때 조회
session.setAttribute("userId", userId);
List<Order> orders = orderService.findByUserId(userId);

# Sentinel 구성 예시
spring:
  data:
    redis:
      sentinel:
        master: mymaster
        nodes:
          - sentinel1:26379
          - sentinel2:26379
          - sentinel3:26379

# App A
spring.session.redis.namespace: app-a:session

# App B
spring.session.redis.namespace: app-b:session

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .sessionManagement(session -> session
                .maximumSessions(1)                    // 동시 세션 1개 제한
                .maxSessionsPreventsLogin(false)        // 새 로그인이 기존 세션을 만료시킴
            );
        return http.build();
    }

    // Spring Session이 Redis 기반 SessionRegistry를 제공
    @Bean
    public FindByIndexNameSessionRepository<?> sessionRepository(
            RedisIndexedSessionRepository redisSessionRepository) {
        return redisSessionRepository;
    }
}