[Spring Security] 2. 권한 변경 시 세션 무효화

왜 권한 변경 시 세션을 무효화해야 할까?

사용자의 권한을 변경했더라도 기존 세션이 살아 있으면 변경 전 권한으로 계속 요청이 가능하다.

예시:

• ADMIN이 user1을 CHANNEL_MANAGER로 강등
• user1은 이미 로그인 중 → 세션에는 아직 이전 권한 정보가 남아 있음
• user1은 강등됐음에도 ADMIN 권한 API를 계속 사용 가능

이를 막으려면 권한 변경 시 해당 사용자의 세션을 강제로 만료시켜야 한다.

SessionRegistry로 세션 무효화하는 방법

List<SessionInformation> sessions = sessionRegistry.getAllSessions(principal, false);
sessions.forEach(SessionInformation::expireNow);

• sessionRegistry.getAllSessions(principal, false) : 해당 사용자의 모든 활성 세션 조회
  • 첫 번째 인자 : principal — DiscodeitUserDetails 객체
  • 두 번째 인자 : includeExpiredSessions — false면 만료된 세션 제외
• expireNow() : 세션을 즉시 만료 처리

권한 변경 서비스에 적용

@Service
@RequiredArgsConstructor
public class BasicUserService implements UserService {

    private final UserRepository userRepository;
    private final SessionRegistry sessionRegistry;

    public UserDto updateRole(UUID userId, Role newRole) {
        User user = userRepository.findById(userId)
                .orElseThrow(() -> new UserNotFoundException(userId));

        user.updateRole(newRole);
        userRepository.save(user);

        // 세션 무효화
        invalidateUserSessions(user.getUsername());

        return UserMapper.toDto(user);
    }

    private void invalidateUserSessions(String username) {
        sessionRegistry.getAllPrincipals().stream()
                .filter(p -> p instanceof DiscodeitUserDetails)
                .map(p -> (DiscodeitUserDetails) p)
                .filter(p -> p.getUsername().equals(username))
                .flatMap(p -> sessionRegistry.getAllSessions(p, false).stream())
                .forEach(SessionInformation::expireNow);
    }
}

• sessionRegistry.getAllPrincipals() : 현재 로그인된 모든 사용자 목록
• username으로 해당 사용자를 찾아 세션을 만료한다

전체 흐름