DongHyeonkaandClaude Opus 5
f2595f748f
Adding Spring Session Redis grows the context by 81 beans and swaps sessionRepository for RedisSessionRepository, while authorizedClientService stays InMemoryOAuth2AuthorizedClientService. The user then reads as logged in with principal labuser while accessTokenStoredOnServer is false, which is worse than being logged out. Redis holds only the security context, serialized with Java native serialization, and the refresh token is not there to encrypt in the first place. Three problems on the way: Kubernetes service links overwrote REDIS_PORT with a tcp:// URL, the tests tried to reach Redis, and the resource server was never deployed so a DNS failure looked like a token failure. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
1.4 KiB
1.4 KiB
B-1 — Redis 세션 저장소 전환 증거
2026-09-04 14:50–15:05 KST
해설: docs/experiment-b1-redis-session-store.md
| 파일 | 무엇을 보여주는가 |
|---|---|
01-servicelinks-trap.txt |
enableServiceLinks: false 적용 후 롤아웃 성공 — 쿠버네티스가 주입한 REDIS_PORT=tcp://... 가 설정을 덮어쓴 문제 |
02-autoconfig-after.txt |
핵심 — 빈 321→402(+81). sessionRepository → RedisSessionRepository 로 바뀌었지만 authorizedClientService 는 InMemory 그대로 |
03-redis-contents.txt |
Redis 키 1개, 필드는 SPRING_SECURITY_CONTEXT 뿐. 토큰 없음. Java 직렬화(\xac\xed), TTL 1772초 |
b1-login-works-two-replicas.png |
전환 직후 accessTokenStoredOnServer: false |
b1-token-boundary-after-redis.png |
파드 전면 교체 후 — principal: labuser 는 살아남고 토큰만 사라진 상태 |
핵심 세 줄
- 세션은 옮겨졌고 토큰은 안 옮겨졌다. 빈 81개가 늘었는데 authorized client 관련은 하나도 안 바뀌었다.
- refresh token 은 Redis 에 평문으로 있는 게 아니라 아예 없다. 암호화를 고민하기 전에 이걸 알아야 한다.
- "로그인은 되어 있는데 아무것도 못 하는" 상태가 만들어진다 — 완전 로그아웃보다 나쁘다.