[트러블 슈팅] 테스트로 알아보는 컨트롤러에서 HttpSession 사용 시 주의점

Junit5 및 Mock 에 대해 설명드리지 않는 점 양해 부탁드립니다.
테스트 코드보다는 컨트롤러에서 HttpSession 을 사용할 때의 주의점을 알아보는 시간을 가져가셨으면 좋겠습니다.

 

컨트롤러에서 파라미터로 HttpSession 을 주입받아서 사용할 때 주의할 점이 있습니다.

 

왜 주의해서 사용해야 하는지 HttpSession 과 HttpServletRequest.getSession() 의 차이를 테스트 코드로 알아보겠습니다.

 

⭐ HttpSession 를 메서드의 파라미터로 즉시 주입 받기

• 코드 설명

- 회원이 인증 코드를 잘못 입력해서 이메일 검증에 실패하면 if 문이 거짓이 됩니다.

- Session 에 값을 설정하지 않고, 메서드가 종료됩니다.

@GetMapping("/email/authenticate")
public ApiResponse<Void> authenticateEmail(@RequestBody @Valid EmailAuthenticationRequest request,
                                           HttpSession session) {
    if (mailService.isValidMail(request.toServiceRequest())) {
        session.setAttribute(MAIL_VERIFIED_MEMBER, true);
        return ApiResponse.ok();
    }
    return ApiResponse.status(HttpStatus.BAD_REQUEST);
}

 

• 테스트 코드

이 메서드가 if문이 거짓이 될 때, 세션이 생성이 되지 않는지 테스트 코드를 짜보겠습니다.

@DisplayName("이메일 인증이 실패하면 HttpSession은 생성되지 않는다.")
@Test
void 테스트() throws Exception {
    // given
    String email = "123@naver.com";
    String authenticationCode = "312njacz";
    
    EmailAuthenticationRequest request = new EmailAuthenticationRequest(email, authenticationCode);

    //==Mock 객체를 사용해서 이메일 검증에 실패했을 때를 가정==
    given(mailService.isValidMail(request.toServiceRequest()))
           .willReturn(false);

    // when then
    MvcResult mvcResult = mockMvc.perform(
                    get("/member/email/authenticate")
                            .contentType(MediaType.APPLICATION_JSON)
                            .content(objectMapper.writeValueAsString(request)))
            .andDo(print())  //==MockHttpServletRequest/Response 내용을 콘솔에 출력==
            .andReturn();

   //==getSession(false)를 해야 세션이 없을 때, MockHttpSession 이 만들어 지지 않음==
   HttpSession session = mvcResult.getRequest().getSession(false);
   Object sessionValue = mvcResult.getRequest().getSession(false).getAttribute(MAIL_VERIFIED_MEMBER);

   assertThat(session).isNull();
   assertThat(sessionValue).isNull();
}

 

 

원래 의도대로라면 회원은 이메일 검증에 실패했기 때문에 서버는 세션을 생성하면 안됩니다.

그렇기에 assertThat(session).isNull() 과 assertThat(sessionValue).isNull() 의 결과는 성공해야 합니다.

하지만, 테스트 결과는 아래 사진처럼 실패했습니다.

• session 과 sessionValue 에 값이 생성되었습니다.

 

• POSTMAN 으로 확인을 해도 세션이 생성됨을 확인할 수 있었습니다.

 

• 인텔리제이의 http 으로 확인을 해도 세션이 생성됨을 확인할 수 있었습니다.

 

⭐왜 HttpSession 이 생성되어 쿠키를 반환할까요?

HttpSession 의 공식문서중 일부입니다.

해당 문서에서는 HttpSession 은 ServletContext 의 스코프에 의해 관리되지, 스프링Context 영역이 아닙니다.

단지 스프링은 HttpSession 을 톰캣의 ServletContext 로부터 가져올 뿐입니다.

Session information is scoped only to the current web application (ServletContext), so information stored in one context will not be directly visible in another.

 

그래서 HttpSession 을 컨트롤러의 파라미터에 사용하게 된다면 해당 메서드가 호출될 때마다 스프링은 HttpSession 을 톰캣으로부터 가져와 주입하게 됩니다.

 

⭐ HttpServletRequest.getSession() 를 사용하기

HttpSession 의 side-effect 에 알아봤으니 HttpServletRequest.getSession() 를 사용하면 이메일 검증이 실패했을 때(if문이 거짓일 때) 세션이 만들어 지지 않는지 확인해 보겠습니다.

• 코드 설명

- 마찬가지로 회원이 인증 코드를 잘못 입력해서 이메일 검증에 실패하면 if 문이 거짓이 됩니다.

- Session 에 값을 설정하지 않고, 메서드가 종료되야 합니다.

@GetMapping("/member/email/authenticate")
public ApiResponse<Void> authenticateEmail(@RequestBody @Valid EmailAuthenticationRequest request,
                           바뀐 부분  ====> HttpServletRequest servletRequest) { <====
    if (mailService.isValidMail(request.toServiceRequest())) { 
        HttpSession session = servletRequest.getSession();
        session.setAttribute(MAIL_VERIFIED_MEMBER, true);
        return ApiResponse.ok();
    }
    return ApiResponse.status(HttpStatus.BAD_REQUEST);
}

 

• 테스트 코드

테스트 코드가 통과하며 세션이 만들어 지지않는 것을 확인할 수 있었습니다.

 

⭐결론

1. 컨트롤러 메서드 파라미터에 HttpSession 을 바인딩한다면 스프링은 ServletContext 에서 세션을 가져오며, ServletContext 입장에서는 스프링에서 세션을 사용한다고 가정하고, "JSESSIONID" 라는 이름의 쿠키를 생성합니다.

 

2. 그러니, 조건에 따라 HttpSession 을 생성해야 한다면 HttpSession 대신 HttpServletRequest 를 사용해야 합니다.

 

3. HttpServletRequest 을 사용할 때, 스프링이 ServletContext 에서 HttpSession 을 가져오는 시점은 .getSession() 을 호출할 때입니다.

 

4. 추가로 세션을 사용할 때는 .getSession() vs .getSession(false) 의 차이도 알아야 합니다.

.getSession() 은 세션이 있으면 세션을 반환하고 세션이 없으면 새로운 세션을 생성합니다.

.getSession(false) 은 세션이 있으면 세션을 반환하고 세션이 없으면 null 을 반환합니다.

* Difference Between request.getSession() and request.getSession(true)