안전한 회원가입/로그인

학습 목표

⚠️ v2 의 두 가지 문제

⚠️ 그리고 또 하나 — 컬럼 길이

-- v2 의 스키마
CREATE TABLE mymember (
    id  VARCHAR(50)  PRIMARY KEY,
    pwd VARCHAR(20)  NOT NULL    -- ← 평문 기준
);

🛠️ 두 가지 해결책

BCrypt + HttpSession

v2 의 코드에 두 가지 변경:

• 회원가입: 평문 → BCrypt 해시로 변환 후 저장
• 로그인: 비교는 BCrypt 가 / 성공 시 세션에 저장
• 로그아웃: 세션 폐기

BCrypt 는 단방향 자물쇠 — 한 번 잠그면 서버도 원본 비밀번호를 모릅니다.

BCrypt — 단방향 해시

① 스키마 마이그레이션 — ALTER TABLE

-- v2 → v3: pwd 컬럼 길이 확장
ALTER TABLE mymember MODIFY COLUMN pwd VARCHAR(100) NOT NULL;

BCrypt 사용 — pom.xml

<!-- Spring Security Crypto (BCrypt 만 가벼이) -->
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-crypto</artifactId>
    <version>5.8.5</version>
</dependency>

👉 Spring Security 전체가 아닌 crypto 모듈만. 가볍게 BCrypt 만 쓰기 위함.

BCrypt 사용 — 회원가입

package com.smhrd.service;

import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

@Service
public class MemberService {
    @Autowired
    private MemberMapper mapper;

    private final BCryptPasswordEncoder encoder
            = new BCryptPasswordEncoder();

    // 회원가입 — 해시해서 저장
    public void signup(Member m) {
        String hashed = encoder.encode(m.getPwd());
        m.setPwd(hashed);
        mapper.insert(m);
    }
}

👉 encoder.encode 한 줄로 평문이 단방향 해시로 변환됩니다.

BCrypt 사용 — 로그인

// MemberService 안에 이어서

// 로그인 — 해시 비교
public Member login(String id, String rawPw) {
    Member m = mapper.selectOne(id);
    if (m == null) return null;
    if (encoder.matches(rawPw, m.getPwd())) {
        return m;
    }
    return null;
}

👉 비교는 encoder.matches(평문, 해시) — 직접 해시 비교 금지.

BCrypt — 동작 한눈에

HttpSession — 로그인 처리

package com.smhrd.controller;

@Controller
public class LoginController {
    @Autowired private MemberService service;

    @GetMapping("/login")
    public String form() { return "login"; }

    @PostMapping("/login")
    public String login(@RequestParam String id,
                        @RequestParam String pwd,
                        HttpSession session) {
        Member m = service.login(id, pwd);
        if (m == null) return "redirect:/login?error";
        session.setAttribute("loginUser", m);  // ← 핵심
        return "redirect:/";
    }
}

👉 session.setAttribute 한 줄이 「페이지 이동해도 풀리지 않는」 인증을 만듭니다.

HttpSession — 로그아웃

// LoginController 안에 이어서

@GetMapping("/logout")
public String logout(HttpSession session) {
    session.invalidate();
    return "redirect:/";
}

👉 invalidate() 는 서버 메모리의 보관함을 통째로 비웁니다. 브라우저의 JSESSIONID 쿠키는 남아 있어도 의미 없는 값이 됩니다.

HttpSession 의 동작

v2 → v3 비교 ① 회원가입

public void signup(Member m) {
    // 평문 그대로!
    mapper.insert(m);
}

public void signup(Member m) {
    m.setPwd(
      encoder.encode(m.getPwd())); // ⭐
    mapper.insert(m);
}

👉 변경량: 한 줄. encode 호출만 끼워 넣음.

v2 → v3 비교 ② 로그인 검증

public Member login(String id, String pwd) {
    Member m = mapper.selectOne(id);
    if (m != null
        && m.getPwd().equals(pwd))
        return m;
    return null;
}

public Member login(String id, String pwd) {
    Member m = mapper.selectOne(id);
    if (m != null
        && encoder.matches(pwd,
                m.getPwd()))      // ⭐
        return m;
    return null;
}

👉 변경량: 한 줄. equals → encoder.matches.

v2 → v3 비교 ③ 세션 저장

// Controller
public String login(...) {
    Member m = service.login(...);
    if (m != null) return "redirect:/";
    return "redirect:/login?error";
    // 세션 저장 X
}

public String login(..., HttpSession s) {
    Member m = service.login(...);
    if (m != null) {
        s.setAttribute("loginUser", m); // ⭐
        return "redirect:/";
    }
    return "redirect:/login?error";
}

👉 변경량: 한 줄. 합계 3 줄로 v2 → v3.

JSP 에서 로그인 상태 표시

<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>

<c:choose>
    <c:when test="${not empty sessionScope.loginUser}">
        <span>${sessionScope.loginUser.id}님</span>
        <a href="/logout">로그아웃</a>
    </c:when>
    <c:otherwise>
        <a href="/login">로그인</a>
        <a href="/signup">회원가입</a>
    </c:otherwise>
</c:choose>

👉 sessionScope.loginUser 로 JSP 의 EL 에서 세션 접근. (v4 에서 nick 추가 후엔 표시명을 loginUser.nick 으로.)

로그인 결과 직접 확인

1. 회원가입 후 DB 의 pwd 컬럼을 직접 봄

   SELECT id, pwd FROM mymember;

   값이 $2a$10$... 형태로 저장됐는지 확인 (60자 길이)
2. 로그인 후 F12 → Application → Cookies 에서 JSESSIONID 보임
3. 다른 페이지로 이동해도 로그인 상태 유지
4. 로그아웃 → 쿠키 그대로지만 서버 보관함은 비워짐

실험 — 일부러 깨뜨려보기

지금 v3 의 한계

v3 의 의미

🔄 Before / After

이번 차시의 데이터 흐름

정리

다음: v4 깔끔한 로그인 — 인터셉터로 가드를 자동화.