Spring Security: 인증 및 권한 부여 프레임워크 🔐

 

 

안녕하세요, 개발자 여러분! 오늘은 Java 생태계에서 매우 중요한 위치를 차지하고 있는 Spring Security에 대해 깊이 있게 알아보겠습니다. Spring Security는 애플리케이션의 보안을 강화하는 강력한 도구로, 현대 웹 개발에서 필수적인 요소입니다. 이 글을 통해 Spring Security의 핵심 개념부터 고급 기능까지 상세히 살펴보며, 여러분의 프로젝트에 어떻게 적용할 수 있는지 알아보겠습니다. 🚀

개발자로서 우리는 항상 새로운 기술을 학습하고 적용해야 합니다. 마치 재능넷에서 다양한 재능을 거래하듯이, 우리도 지식과 기술을 끊임없이 업데이트해야 합니다. Spring Security를 마스터하는 것은 여러분의 개발 재능을 한 단계 더 높이는 좋은 방법이 될 것입니다. 자, 그럼 Spring Security의 세계로 함께 들어가 볼까요? 🌟

// SecurityContextHolder를 통해 현재 인증된 사용자 정보 얻기
Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
String username = authentication.getName();

public class CustomUserDetails implements UserDetails {
    private String username;
    private String password;
    private Collection extends GrantedAuthority> authorities;

    // 생성자, getter, setter 등 구현
    
    @Override
    public boolean isAccountNonExpired() {
        return true;
    }

    @Override
    public boolean isAccountNonLocked() {
        return true;
    }

    @Override
    public boolean isCredentialsNonExpired() {
        return true;
    }

    @Override
    public boolean isEnabled() {
        return true;
    }
}

@Service
public class CustomUserDetailsService implements UserDetailsService {
    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
            .orElseThrow(() -> new UsernameNotFoundException("User not found"));
        
        return new CustomUserDetails(user);
    }
}

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService);
    }
}

3. Spring Security 설정 및 구현 🛠️

Spring Security를 프로젝트에 적용하는 과정은 크게 의존성 추가, 기본 설정, 커스터마이징의 단계로 나눌 수 있습니다. 각 단계를 자세히 살펴보겠습니다.

3.1 의존성 추가 📦

Spring Boot 프로젝트에서는 다음과 같이 Maven이나 Gradle 의존성을 추가합니다:

// Maven
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

// Gradle
implementation 'org.springframework.boot:spring-boot-starter-security'

3.2 기본 설정 ⚙️

Spring Security의 기본 설정은 다음과 같이 할 수 있습니다:

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Bean
    @Override
    public UserDetailsService userDetailsService() {
        UserDetails user =
             User.withDefaultPasswordEncoder()
                .username("user")
                .password("password")
                .roles("USER")
                .build();

        return new InMemoryUserDetailsManager(user);
    }
}

이 설정은 기본적인 폼 로그인을 설정하고, "/" 와 "/home" 경로는 모든 사용자에게 허용하며, 그 외의 경로는 인증된 사용자만 접근할 수 있도록 합니다.

3.3 커스텀 UserDetailsService 구현 👨‍💼

실제 애플리케이션에서는 대부분 데이터베이스에서 사용자 정보를 가져와야 합니다. 이를 위해 UserDetailsService를 구현합니다:

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
            .orElseThrow(() -> new UsernameNotFoundException("User not found"));

        return new org.springframework.security.core.userdetails.User(
            user.getUsername(),
            user.getPassword(),
            user.isEnabled(),
            true,
            true,
            true,
            getAuthorities(user.getRoles())
        );
    }

    private Collection extends GrantedAuthority> getAuthorities(List<string> roles) {
        return roles.stream()
            .map(role -> new SimpleGrantedAuthority("ROLE_" + role))
            .collect(Collectors.toList());
    }
}
</string>

3.4 비밀번호 인코딩 🔒

보안을 강화하기 위해 비밀번호는 반드시 인코딩되어야 합니다. Spring Security는 다양한 비밀번호 인코더를 제공합니다:

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

3.5 인증 및 권한 부여 설정 🛡️

더 세밀한 인증 및 권한 부여 설정은 다음과 같이 할 수 있습니다:

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home", "/register").permitAll()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .defaultSuccessUrl("/dashboard")
                .permitAll()
                .and()
            .logout()
                .logoutSuccessUrl("/")
                .permitAll()
                .and()
            .rememberMe()
                .key("uniqueAndSecret")
                .tokenValiditySeconds(86400);
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
            .passwordEncoder(passwordEncoder());
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

이 설정은 다음과 같은 기능을 제공합니다:

• 홈 페이지, 로그인 페이지, 회원가입 페이지는 모든 사용자에게 접근 허용
• "/admin/**" 경로는 ADMIN 역할을 가진 사용자만 접근 가능
• 커스텀 로그인 페이지 사용
• 로그인 성공 시 대시보드로 리다이렉트
• "Remember Me" 기능 활성화 (1일 동안 유효)

3.6 CSRF 보호 🛡️

Spring Security는 기본적으로 CSRF(Cross-Site Request Forgery) 보호를 제공합니다. 하지만 RESTful API를 개발하는 경우 이를 비활성화할 수 있습니다:

http.csrf().disable();

주의: CSRF 보호를 비활성화하는 것은 보안상 위험할 수 있으므로, 반드시 필요한 경우에만 사용해야 합니다.

3.7 JWT(JSON Web Token) 인증 구현 🎟️

RESTful API에서는 JWT를 사용한 인증이 흔히 사용됩니다. JWT 인증을 구현하기 위해서는 다음과 같은 단계가 필요합니다:

1. JWT 의존성 추가
2. JWT 유틸리티 클래스 생성
3. JWT 필터 구현
4. Security 설정 수정

JWT 유틸리티 클래스 예시:

@Component
public class JwtTokenUtil {

    @Value("${jwt.secret}")
    private String secret;

    @Value("${jwt.expiration}")
    private Long expiration;

    public String generateToken(UserDetails userDetails) {
        Map<string object> claims = new HashMap<>();
        return Jwts.builder()
            .setClaims(claims)
            .setSubject(userDetails.getUsername())
            .setIssuedAt(new Date(System.currentTimeMillis()))
            .setExpiration(new Date(System.currentTimeMillis() + expiration * 1000))
            .signWith(SignatureAlgorithm.HS512, secret)
            .compact();
    }

    public String getUsernameFromToken(String token) {
        return getClaimFromToken(token, Claims::getSubject);
    }

    public Date getExpirationDateFromToken(String token) {
        return getClaimFromToken(token, Claims::getExpiration);
    }

    public <t> T getClaimFromToken(String token, Function<claims t> claimsResolver) {
        final Claims claims = getAllClaimsFromToken(token);
        return claimsResolver.apply(claims);
    }

    private Claims getAllClaimsFromToken(String token) {
        return Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody();
    }

    private Boolean isTokenExpired(String token) {
        final Date expiration = getExpirationDateFromToken(token);
        return expiration.before(new Date());
    }

    public Boolean validateToken(String token, UserDetails userDetails) {
        final String username = getUsernameFromToken(token);
        return (username.equals(userDetails.getUsername()) && !isTokenExpired(token));
    }
}
</claims></t></string>

JWT 필터 구현:

@Component
public class JwtRequestFilter extends OncePerRequestFilter {

    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Autowired
    private JwtTokenUtil jwtTokenUtil;

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
            throws ServletException, IOException {

        final String requestTokenHeader = request.getHeader("Authorization");

        String username = null;
        String jwtToken = null;

        if (requestTokenHeader != null && requestTokenHeader.startsWith("Bearer ")) {
            jwtToken = requestTokenHeader.substring(7);
            try {
                username = jwtTokenUtil.getUsernameFromToken(jwtToken);
            } catch (IllegalArgumentException e) {
                System.out.println("Unable to get JWT Token");
            } catch (ExpiredJwtException e) {
                System.out.println("JWT Token has expired");
            }
        } else {
            logger.warn("JWT Token does not begin with Bearer String");
        }

        if (username != null && SecurityContextHolder.getContext().getAuthentication() == null) {
            UserDetails userDetails = this.userDetailsService.loadUserByUsername(username);

            if (jwtTokenUtil.validateToken(jwtToken, userDetails)) {
                UsernamePasswordAuthenticationToken usernamePasswordAuthenticationToken = new UsernamePasswordAuthenticationToken(
                        userDetails, null, userDetails.getAuthorities());
                usernamePasswordAuthenticationToken
                        .setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
                SecurityContextHolder.getContext().setAuthentication(usernamePasswordAuthenticationToken);
            }
        }
        chain.doFilter(request, response);
    }
}

Security 설정 수정: