[시큐어코딩실습] 로그인 시도 횟수 제한
로그인 시도 횟수 제한시 고려해야 할 항목들을 정리해 보면,
- 로그인 시도 횟수 : 로그인 시도시 마다 1씩 증가 시켜, 시도 횟수가 5보다 큰 경우 일정 시간 동안
로그인 기능이 잠금 상태가 되도록 한다.
- 마지막으로 실패한 로그인 시간 정보 : 이 시간 정보를 이용하여 로그인 잠금 상태가 유지 되어야 하는
시간을 설정 할 수 있다.
- 마지막으로 성공한 로그인 시간 정보 : 이 시간 정보를 이용하여 마지막으로 로그인한 시간 정보를
사용자에게 알려줌으로써 자기 계정이 혹시 다른 사람에 의해 사용되었는지 여부를
사용자가 점검 할 수 있도록 한다.
- 로그인한 사용자의 IP 정보 : 이 정보를 관리하므로 해서 다른 IP에서 중복 로그인을 하지 못하도록 설정
할 수 있다. 일반적으로 뒤에 로그인되는 사용자에게 중복 로그인에 대한 정보를 제공
하고, 이전 로그인 세션의 강제 종료를 설정할 수 있도록 한다.
package kr.co.openeg.sec.lab.login.controller;
import java.util.Date;
import javax.annotation.Resource;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpSession;
import kr.co.openeg.sec.lab.login.model.LoginSessionModel;
import kr.co.openeg.sec.lab.login.service.LoginService;
import kr.co.openeg.sec.lab.login.service.LoginValidator;
import kr.co.openeg.sec.lab.member.model.SecurityModel;
import org.springframework.stereotype.Controller;
import org.springframework.validation.BindingResult;
import org.springframework.web.bind.annotation.ModelAttribute;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RequestMethod;
import org.springframework.web.servlet.ModelAndView;
@Controller
public class LoginController {
@Resource(name="loginService")
private LoginService service;
@RequestMapping("/login.do")
public String login() {
return "/board/login";
}
@RequestMapping(value="/login.do", method = RequestMethod.POST)
public ModelAndView loginProc(@ModelAttribute("LoginModel")
LoginSessionModel loginModel,
BindingResult result,
HttpServletRequest request,
HttpSession session) {
ModelAndView mav = new ModelAndView();
// form validation
new LoginValidator().validate(loginModel, result);
if(result.hasErrors()){
mav.setViewName("/board/login");
return mav;
}
String userId = loginModel.getUserId();
SecurityModel sec = service.checkSecurity(userId);
System.out.println("retry: "+sec.getRetry());
// 로그인 시도횟수가 5회가 넘으면 30초간 로그인 잠금
if ( sec.getRetry() >= 5 ) {
if (new Date().getTime() - sec.getLastFailedLogin() < 30000) {
mav.addObject("userId", userId);
mav.addObject("errCode", 6); // 30초동안 로그인잠금 알림
mav.setViewName("/board/login");
return mav;
} else {
sec.setRetry(0);
sec.setLastFailedLogin(0);
service.updateSecurity(sec);
}
}
String userPw = loginModel.getUserPw();
LoginSessionModel loginCheckResult =
service.checkUserId(userId,userPw);
// 로그인이 틀리면, 로그인 시도횟수를 1증가 시키고,
// 로그인 실패 시간을 DB에 업데이트 한다.
if(loginCheckResult == null){
sec.setRetry(sec.getRetry()+1);
sec.setLastFailedLogin(new Date().getTime());
service.updateSecurity(sec);
mav.addObject("retry",sec.getRetry());
mav.addObject("userId", userId);
mav.addObject("errCode", 1); // not exist userId in database
mav.setViewName("/board/login");
return mav;
}else {
// 로그인이 성공하면, 로그인 시도횟수를 0로 reset,
// 마지막으로 로그인 실패 시간 0으로 reset
// 성공한 클라이언트 IP를 DB에 업데이트,
// 로그인 성공시간 DB에 업데이트
sec.setRetry(0);
sec.setLastFailedLogin(0);
sec.setLastSuccessedLogin(new Date().getTime());
sec.setclientIp(request.getRemoteAddr());
service.updateSecurity(sec);
session.setAttribute("userId", userId);
session.setAttribute("userName", loginCheckResult.getUserName());
mav.setViewName("redirect:/board/list.do");
return mav;
}
}
@RequestMapping("/logout.do")
public String logout(HttpSession session){
session.invalidate();
return "redirect:login.do";
}
}
소스파일: 
LoginController.java
로그인 세션 관리
http://blog.naver.com/kyong94s/119737344