[Spring Security] 4. 세션 기반 인증과 @AuthenticationPrincipal

1. 세션 기반 인증 흐름

로그인에 성공하면 Spring Security는 자동으로 세션을 생성하고 JSESSIONID 쿠키를 클라이언트에 발급합니다.

• 클라이언트는 이후 모든 요청에 JSESSIONID 쿠키를 자동으로 포함합니다
• Security Filter가 JSESSIONID로 세션을 찾아 SecurityContext를 복원합니다
• 인증된 상태이므로 컨트롤러까지 요청이 도달합니다

2. SecurityContext란?

SecurityContext 는 현재 인증된 사용자 정보를 담고 있는 컨테이너입니다.

SecurityContextHolder
    └── SecurityContext
            └── Authentication
                    └── Principal (DiscodeitUserDetails)

• SecurityContextHolder : 현재 스레드의 SecurityContext를 관리
• Authentication : 인증된 사용자 정보 + 권한 목록
• Principal : loadUserByUsername()이 반환한 UserDetails 구현체

3. 컨트롤러에서 인증 정보 꺼내기

방법 1. @AuthenticationPrincipal (권장)

@GetMapping("/me")
public UserDto getMe(@AuthenticationPrincipal DiscodeitUserDetails userDetails) {
    return userDetails.getUserDto();
}

• @AuthenticationPrincipal : SecurityContext에서 Principal을 자동으로 주입
• 간결하고 테스트하기 쉬운 현대적인 방식

방법 2. SecurityContextHolder 직접 사용

@GetMapping("/me")
public UserDto getMe() {
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    DiscodeitUserDetails userDetails = (DiscodeitUserDetails) authentication.getPrincipal();
    return userDetails.getUserDto();
}

• 컨트롤러 외부(서비스 레이어 등)에서 인증 정보가 필요할 때 사용
• 파라미터로 받을 수 없는 상황에서 유용

4. 구현 예시

@RestController
@RequestMapping("/api/auth")
public class AuthController {

    @GetMapping("/me")
    public UserDto getMe(@AuthenticationPrincipal DiscodeitUserDetails userDetails) {
        return userDetails.getUserDto();
    }
}

• 별도 서비스 호출 없이 세션에서 바로 꺼내 반환합니다
• JSESSIONID가 유효하지 않거나 없으면 Security Filter가 401을 반환합니다

5. 자주 하는 실수