Session 관리 — 동시 로그인 제한과 세션 고정 공격 방어

1. 공격자가 사이트에 접속하여 세션 ID를 얻음 (JSESSIONID=abc123)
2. 피해자에게 이 세션 ID를 포함한 링크를 보냄
3. 피해자가 해당 링크로 로그인
4. 공격자가 abc123 세션으로 접근 → 피해자의 인증된 세션 탈취

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        .sessionManagement(session -> session
            .sessionFixation(fixation -> fixation
                .changeSessionId()  // 기본값
            )
        )
        .build();
}

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        .sessionManagement(session -> session
            .maximumSessions(1)
        )
        .build();
}

사용자 A: PC에서 로그인 → 세션 1 생성
사용자 A: 모바일에서 로그인 → 세션 2 생성, 세션 1 만료
사용자 A: PC에서 요청 → "세션이 만료되었습니다"

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        .sessionManagement(session -> session
            .maximumSessions(1)
            .maxSessionsPreventsLogin(true)
        )
        .build();
}

사용자 A: PC에서 로그인 → 세션 1 생성
사용자 A: 모바일에서 로그인 시도 → "이미 로그인 중입니다" 거부

@Bean
public SessionRegistry sessionRegistry() {
    return new SessionRegistryImpl();
}

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        .sessionManagement(session -> session
            .maximumSessions(1)
            .sessionRegistry(sessionRegistry())
        )
        .build();
}

@GetMapping("/admin/sessions")
public List<SessionDto> getActiveSessions() {
    return sessionRegistry.getAllPrincipals().stream()
        .flatMap(principal ->
            sessionRegistry.getAllSessions(principal, false).stream())
        .map(SessionDto::from)
        .toList();
}

@DeleteMapping("/admin/sessions/{sessionId}")
public void expireSession(@PathVariable String sessionId) {
    SessionInformation session =
        sessionRegistry.getSessionInformation(sessionId);
    if (session != null) {
        session.expireNow();  // 다음 요청 시 만료 처리
    }
}

http.sessionManagement(session -> session
    .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
);

# application.yml
server:
  servlet:
    session:
      timeout: 30m  # 기본 30분

http.sessionManagement(session -> session
    .invalidSessionUrl("/login?expired=true")      // 유효하지 않은 세션
    .maximumSessions(1)
    .expiredUrl("/login?maxSession=true")           // 다른 곳에서 로그인으로 만료
);