Spring Security

Spring Security

• Spring Security
  • 인증과 권한 제어에 필요한 필터 모음
  • 필터를 기반으로 권한에 따른 접근 제어 기능, 패스워드 암호화 등 전반적인 기능 포함함

인증

• Authentication
  • 입력받은 정보와 사용자 정보를 비교해서 신원을 확인하는 것
• AuthenticationManager, Authentication의 인터페이스와 클래스 존재
• Spring Security는 기본적으로 HTTP 기본 인증 방식으로 동작
  • DB에 저장된 사용자 정보와 인증을 연동하기 위해서는 AuthenticationManager 설정 필요

인가

• Authorization
  • 인증과정을 통해서 사용자를 식별한 후 사용자가 가진권한을 확인하여 해당 사용자 권한에 맞게 접근을 허용하는 것
• Spring Security는 Role 기반으로 권한 관리를 함
• Role
  • 접속한 사용자가 사이트에서 수행하는 역할
  • Role에 따라 페이지 접근 허용 여부를 결정함

인증 흐름

1. 사용자가 처음 사이트에 접속
2. 인증 정보가 필요한 화면은 Spring Security의 인증을 통과한 후에 접근 가능
   • 인증 정보는 DB에서 가져옴
3. 인증에 실패 시 다시 로그인 페이지
4. 로그인 후 로그아웃 시 권한이 필요없는 첫 페이지

회원 가입

접근 경로 설정

SecurityConfig 설정

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
            .authorizeRequests()
            //접근 허용
            .antMatchers("/css/**", "/js/**", "/images/**", "/resources/**", "/h2-console/**", "/webjars/**", "/signup", "/home", "/").permitAll()
            .anyRequest().authenticated()
            .and()
            //iframe 허용
            .headers().
            frameOptions().disable()
            .and()
            //DB 어드민 접속 허용
            .csrf()
            .ignoringAntMatchers("/h2-console/**")
            .and()
            //로그인
            .formLogin()
            .loginPage("/login")
            .loginProcessingUrl("/sign-in")
            .defaultSuccessUrl("/welcome")
            .failureUrl("/login?error")
            .usernameParameter("email")
            .passwordParameter("passwd")
            .permitAll()
            .and()
            //예외처리
            .exceptionHandling().accessDeniedHandler(MemberAccessDeniedHandler())
            .and()
            .rememberMe()
            .key("jpub")
            .rememberMeParameter("remember-me")
            .rememberMeCookieName("jpubcookie")
            .tokenValiditySeconds(86400) //1day
            .tokenRepository(rememberMeTokenService()).userDetailsService(myUserService())
            .and()
            //로그아웃
            .logout()
            .invalidateHttpSession(true)
            .clearAuthentication(true)
            .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
            .logoutSuccessUrl("/login?logout")
            .permitAll();
}

• 각 설정마다 .and()로 연결한다.
• antMatchers
  • 접근 제어를 하지 않을 경로들을 입력
  • 경로 전체에 적용하려면 '/**'를 사용
• .headers().frameOptions().disable().and().csrf().ignoringAntMatchers("/h2-console/**")
  • Spring Security 사용 시 h2-console을 사용할 수 있도록 하는 설정
• .formLogin() ~ .permitAll()
  • 로그인 설정

MemberService 작성

• bCryptPasswordEncoder
  • Spring Security에서 제공하는 단방향 암호화 클래스
  • 이를 이용하여 DB에 저장하기 직전에 인코딩하여 저장한다.
• token validation
  • Spring Security에서는 CSRF 공격방지를 위해서 token validation을 제공

토큰 사용

Remember Me

• Remember Me
  • Spring Security에서 제공하는 기능
  • 인증 정보를 쿠키 형태로 보고나해서 만료 기간 전까지 저장된 쿠키 정보로 인증을 대신 처리해 주는 기능