티스토리

채마스의 개발창고

검색하기

블로그 홈

채마스의 개발창고

hyunwook.dev/m

채마스 님의 블로그입니다.

구독자: 0

방명록 방문하기

주요 글 목록

스프링시큐리티 테스트 스프링시큐리티 테스트 SpringSecurity를 사용하는 프로젝트의 테스트는 SpringSecurity가 없는 프로젝트의 테스트와 조금 다른 부분이 있다. SpringSecurity의 테스트에서는 User가 로그인한 상태를 가정하고 테스트해야 하는 경우가 많다. 인증을 받지 않은 상태로 테스트를 하면 SpringSecurity에서 요청 자체를 막기 때문에 테스트가 제대로 동작조차 하지 못한다. 이런 문제는 프로젝트에 spring-security-test를 사용해서 해결할 수 있다. 설정 의존성 추가 testImplementation 'org.springframework.security:spring-security-test' Test 실행 전 MockMvc에 springSecurity (static 메소.. 공감수 0 댓글수 0 2022. 3. 24.
PasswordEncoder PasswordEncoder 란? spring security 를 사용할때 패스워드를 암호화하는 전략을 정할 수 있다. 아래와 같이 PasswordEncoder 를 빈으로 등록한다. @Bean public PasswordEncoder passwordEncoder() { return PasswordEncoderFactories.createDelegatingPasswordEncoder(); } PasswordEncoder 전략 아래와 같이 5가지의 전략을 갖는다. NoOpPasswordEncoder 암호화하지 않고 평문으로 사용한다. password가 그대로 노출되기 때문에 현재는 deprecated 되었고 사용하지 않기를 권장한다. BcryptPasswordEncoder Bcrypt 해시 함수를 사용한 P.. 공감수 0 댓글수 0 2022. 3. 24.
JWT JWT 란? JWT는 Json Web Token 의 약자이다. Json 포맷을 이용하여 사용자에 대한 속성을 저장하는 Claim 기반의 Web Token이다. JWT는 토큰 자체를 정보로 사용하는 Self-Contained 방식으로 정보를 안전하게 전달한다. JWT는 아래와 같이 Header, Payload, Signature 으로 구성되어 있고, 3 부분을 . 구분자로 구분하며, Json 형태인 각 부분은 Base64로 인코딩 되어 표현된다. Base64는 암호화된 문자열이 아니고, 같은 문자열에 대해 항상 같은 인코딩 문자열을 반환한다. 세션 vs JWT 세션 방식 먼저 세션 방식으로 인증을 처리하는 과정은 아래와 같다. 위와 같이 먼저 클라이언트 측에서 로그인을 시도한다. 회원 정보가 일치하면 서버.. 공감수 0 댓글수 0 2022. 2. 28.
ProxyFactory 를 이용한 동적 Method 인가 처리 개요 메소드에 실시간으로 보안처리를 하고 싶다. url 인가 처리의 경우 필터기반이기 때문에, 매 요청시 인가처리를 할 수 있지만, 메소드 인가 처리는 AOP 기반이기 때문에, 애플리케이션이 구동되는 시점, 즉 초기화 시점에서 프록시 객체와 Advice 가 등록이 되어있어야 한다. 그렇기 때문에 메소드 인가 처리를 동적으로 처리하기 위해서는 실시간으로 프록시 객체를 생성하고 Advice 를 등록하는 로직이 필요하다. AOP 와 ProxyFactory 코드 구현 @Component public class MethodSecurityService { private MapBasedMethodSecurityMetadataSource mapBasedMethodSecurityMetadataSource; private.. 공감수 0 댓글수 0 2022. 2. 28.
Method 시큐리티 프로세스 커스텀 개요 Method 레벨에서 시큐리티를 적용시키고 싶다. Method 시큐리티는 AOP 기반으로 구현되어있다. Method 시큐리티와 AOP Method 시큐리티에서 AOP 적용 원리는 아래와 같다. ProxyFactory 에서 프록시 객체를 생성한다. 프록시 객체는 advisor 를 통해서 advice 를 실행시킨다. Pointcut 으로 설정된 부분에서 인가를 처리한다. 인가처리가 끝난 후 프록시 객체가 아닌 실제 클래스의 메소드를 실행한다. Method 에 애노테이션 방식의 권한 설정 보안이 필요한 메소드에 설정한다. @PreAuthorize, @PostAuthorize, @Secured, @RolesAllowed 등이 있다. @PreAuthorize, @PostAuthorize SpEL 지원 Pre.. 공감수 0 댓글수 0 2022. 2. 28.
URL 시큐리티 프로세스 커스텀 개요 SecurityConfig 파일에서 하나하나 mvcMatchers("/admin").hasRole("ADMIN") 이렇게 처리해 주지 않고, 동적으로 처리해주고 싶을 때가 있을것이다. Spring Security 를 통해서 동적으로 권한을 부여해 줄 수 있도록 커스텀할 수 있다. 인가 처리 방식 아래 그림은 인가 처리 방식을 나타낸 그림이다. FilterInvocation 요청 정보를 담는 객체이다. FilterInvocation 객체는 FilterSecurityInterceptor 의 doFilter 메소드 안에 있다. List attributes 권한 정보를 담는 객체이다. this.obtainSecurityMetadataSource().getAttribute(object); 에서 권한 정보를 .. 공감수 1 댓글수 0 2022. 2. 28.
권한 계층 적용하기 개요 상윈 권한이 하위 권한을 포함할 수 있도록 설정할 수 있다. 권한 계층 적용 RoleHierarchy 클래스는 상위 계층 Role은 하위 계층 Role의 자원에 접근 가능하도록 설정할 수 있는 클래스다. 예를들어 ROLE_ADMIN > ROLE_MANAGER > ROLE_USER 일 경우 ROLE_ADMIN 만 있으면 하위 ROLE 의 권한을 모두 포함되게 설정할 수 있다. ROLE_HIERARCHY 테이블을 보면 부모와 자식 권한이 매핑되어 저장되어 있다. ROLE_HIERARCHY 테이블에 저장된 정보는 정해진 format에 따라 포매팅 되어야 한다. 포매팅된 데이터는 RoleHierarchy 가 가지고 있게 된다. RoleHierarchyVoter 는 RoleHierarchy 를 생성자로 받으.. 공감수 0 댓글수 0 2022. 2. 28.
Voter 커스텀 하기 개요 Voter 를 커스텀해서 IP 를 검증하는 로직을 추가할 수 있다. Voter custom 하기 특정한 IP 만 접근이 가능하도록 하고 싶다면, IP 를 심의하는 Voter 추가하면 된다. AccessDecisionManager 의 구현체중 AffirmativeBased 가 기본적략이기 때문에 Voter 중 하나만 통과되도 허용된다. 또한 나는 직접 만든 IpAddressVoter 에서 허용되지 않으면, 바로 자원접근을 거부하고 싶다. 그렇기 때문에 아래와 같은 규칙이 필요하다. AffirmativeBased 에서 직접만든 IpAddressVoter 를 우선적으로 체크해야 되기 때문에 가장 상위에 위치시켜서 먼저 검사하도록 설정해야 한다. 허용된 IP의 경우 ACCESS_GRANTED 가 아닌 AC.. 공감수 0 댓글수 0 2022. 2. 28.
@AuthenticationPrincipal 개요 아래와 같이 웹 MVC 핸들러 아규먼트로 Principal 객체를 받을 수 있다. @GetMapping("/") public String index(Model model, Principal principal){ if (principal == null){ model.addAttribute("message", "null"); }else { model.addAttribute("message", "hello" + principal.getName()); } } 여기서 Principal 대신 Account 를 받을 수 없을까? -> @AuthenticationPrincipal 를 사용하면 된다. @AuthenticationPrincipal SecurityContextHolder.getContext().getA.. 공감수 0 댓글수 0 2022. 2. 28.
메소드 시큐리티 메소드 시큐리티 서비스 계층을 직접 호출할 때 사용하는 보안 기능이다. AOP 를 이용해서 적용시킨 것이다. @Configuration @EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true, jsr250Enabled = true) public class MethodSecurity extends GlobalMethodSecurityConfiguration { @Override protected AccessDecisionManager accessDecisionManager() { RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl(); roleHierarchy.setHierarchy(.. 공감수 0 댓글수 0 2022. 2. 28.
Custom DSL 적용 개요 Spring Security 에서 제공하는 DSL(Doman Specific Language) 을 적용해 보고자한다. 폼인증 기반 필터가 아닌 직접만든 AjaxAuthenticationFilter 를 대상으로 구현해 볼 것이다. Ajax Custom DSLs 구현 스프링 시큐리티에서 제공하는 DSL 로 Config 를 구성하면 필터, 핸들러, 메서드, 속성 등을 한 곳에 정의하여 처리할 수 있는 편리함 제공한다. AjaxLoginConfigurer 구현 public final class AjaxLoginConfigurer extends AbstractAuthenticationFilterConfigurer { private AuthenticationSuccessHandler successHandler.. 공감수 0 댓글수 0 2022. 2. 28.
Ajax 인증처이 Ajax 인증 처리 흐름 보는 것 처럼 인증의 경우 AjaxAuthenticationFilter 로 인가의 경우 FilterSecurityIntercepter 로 요청이 전달 되는 것을 확인할 수 있다. ajax 방식으로 구현하기 위해서 각각의 클래스 구현해 줘야 하지만, 방식은 폼인증 방식과 크게 다르지 않다. AbstractAuthenticationProcessingFilter 상속해서 구현할 수 있다. AjaxAuthenticationFilter 구현 폼인증 필터를 사용할 수 없기 때문에 AjaxLoginProcessingFilter 클래스 구현한다. public class AjaxLoginProcessingFilter extends AbstractAuthenticationProcessingFilt.. 공감수 0 댓글수 0 2022. 2. 28.
Custom Filter Custom Filter 구현 Spring Security Custom Filter 를 만들 수 있다. 기본적은 서블릿 필터를 만드는 것과 동일하다. 아래와 같이 구현할 수 있다. public class LoggingFilter extends GenericFilter { private Logger logger = LoggerFactory.getLogger(this.getClass()); @Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { StopWatch stopWatch = new StopWatch(); st.. 공감수 0 댓글수 0 2022. 2. 28.
RememberMeAuthenticationFilter Remember Me? 보통 로그인 폼 밑에 보면 아이디, 비밀번호 저장 체크박스를 볼 수 있다. -> 이것이 Remember Me 와 관련이 있다. 체크 박스를 체크하고 로그인 하는 순간 remember-me 라는 쿠키가 생성된다. 체크 박스 체크 : JSESSIONID, remember-me 모두 존재 체크 안함 : JSESSIONID 만 존재 강제로 JSESSION 를 삭제한다면? 체크 : 인증을 다시 받을 필요가 없다. 체크 안함 : 인증을 다시 받아야 한다. RememberMeAuthenticationFilter Spring Security 에서 제공하는 15개의 필터 외에 RememberMeAuthenticationFilter 가 있다. Authentication 객체가 null 이고, 사용자.. 공감수 0 댓글수 0 2022. 2. 28.
AccessDesicionManager 와 AccessDecisionVoter AccessDecisionManager 인증 정보, 요청정보, 권한정보를 이용해서 사용자의 자원접근에 대해서 Access Control 결정을 내리는 인터페이스이다. 여러개의 Voter 들을 가질 수 있다. Voter 들로부터 접근허용, 거부, 보류에 해당하는 각각의 값을 리턴받고 판단 및 결정한다. 구현체 3가지를 기본으로 제공한다. AffirmativeBased : 여러 Voter 중에 한명이라도 허용하면 허용, 기본전략 ConsensusBased : 다수결 UnanimousBased : 만장일치 accessDecisionManager() 를 따로 구현하지 않으면, 기본적으로 AffirmativeBased() 를 사용한다. 아래와 같이 AffirmativeBased 코드에서 voter에 의해서 res.. 공감수 0 댓글수 0 2022. 2. 28.
ExceptionTranslationFilter,RequestCacheAwareFilter ExceptionTranslationFilter AuthenticationException AuthenticationEntryPoint 를 호출한다. 인증정보가 없다면? -> 로그인 페이지로 이동한다. 401 오류 코드를 전달한다. 인증 예외가 발생하기 전의 요청 정보를 저장한다. 어떤 페이지로 접근하려했을때 인증이 되지않아 로그인 페이지로 이동한다면? -> 로그인 처리가 끝난 후 다시 원래 요청 페이지로 이동한다. RequestCache : 사용자의 이전 요청 정보를 세션에 저장하고 이를 꺼내 오는 캐시 메커니즘이다. SavedRequest : 사용자가 요청했던 request 파라미터 값들과 그 당시의 헤더값등을 저장한다. 정리하면 요청정보가 SavedRequest 에 담기고, RequestCache가.. 공감수 0 댓글수 0 2022. 2. 28.
Security Filter Spring Security Filter 스프링 시큐리티에서 기본적으로 제공하는 15개의 필터에 대해서 알아보려 한다. 아래와 같은 순서로 15개의 필터가 구성되어 있다. WebAsyncManagerIntegrationFilter SpringMVC Async Hanlder 를 지원하기 위한 필터다. SecurityContextHolder 는 thread local 을 사용하기 때문에 aysnc 한 핸들러(컨트롤러) 를 사용할 경우 같인 thread 를 사용하지 않아도 SecurityContext 를 공유할 수 있게 도와주는 필터이다. 역할을 아래와 같이 정리할 수 있다. preprocessing 과정에서 새로만든 thread 에 SecurityContext를 공유하는 작업이 일어난다. postproces.. 공감수 0 댓글수 0 2022. 2. 28.
CustomUserDetailService 개요 스프링 시큐리티에서 기본적으로 UserDetailsService 를 제공해 주지만, 프로젝트에 맞게 커스텀할 일이 생기기 마련이다. 디비에서 사용자 정보를 가져와서 AuthenticationProvider 에게 UserDetails 타입의 유저 정보를 넘겨주는 UserDetailsService 를 직접 구현해 보려고 한다. UserDetailsService 위와 같이 UserDtailsService 는 UserRepository 로 부터 데이터를 가져와서 AuthenticationProvider 에게 UserDetails 타입의 유저 정보를 만들어서 넘겨준다. 코드 Account 엔티티 구현 @Entity @Data @EqualsAndHashCode(of = "id") @NoArgsConstruct.. 공감수 0 댓글수 0 2022. 2. 28.
AuthenticationSuccessHandler, AuthenticationFailureHandler, AccessDeniedHandler 커스텀하기 개요 폼 인증, 인가를 성공하거나 실패한 후에 처리하고 싶은 작업을 AuthenticationSuccessHandler, AuthenticationFailureHandler, AccessDeniedHandler 를 커스텀해서 구현할 수 있다. AuthenticationSuccessHandler 는 인증 성공 후 처리 AuthenticationFailureHandler 는 인증 실패 후 처리 AccessDeniedHandler 는 인가 실패 후 처리 AuthenticationSuccessHandler 커스텀 CustomAuthenticationSuccessHandler 클래스 구현 @Component public class CustomAuthenticationSuccessHandler extends Sim.. 공감수 0 댓글수 0 2022. 2. 28.
UsernamePasswordAuthenticationFilter 커스텀 하기 개요 UsernamePasswordAuthenticationFilter는 Id와 password를 사용하는 form 기반 인증을 처리하는 필터이다. UsernamPasswordAuthenticationFilter 를 상속받아서 Filter를 구성하는 것을 목표로 한다. UsernamPasswordAuthenticationFilter 의 메소드를 재정의 함으로서 커스텀한 필터를 구성할 수 있다. Login Form 인증 절차 먼저 AntPathRequestMatcher 를 통해서 요청 정보가 매칭되는지 확인한다. 정보가 맞지않으면 다음 필터로 넘어간다. 그 다음 Authentication 객체를 생성한다. (이 부분이 가장 큰 역할이다.) 그 다음 AuthenticationManager 가 Authenti.. 공감수 0 댓글수 0 2022. 2. 28.
WebAuthenticationDetails 와 AuthenticationDetailsSource 개요 사용자가 인증을 요청할때, username, password 이외에 다른 값까지 같이 인증에 포함 시키고 싶은 경우가 있다. 그럴때 WebAuthenticationDetails 를 직접 구현해서 사용한다. WebAuthenticationDetails, AuthenticationDetailsSource 위와 같이 WebAuthenticationDetails 는 인증 과정 중 전달된 데이터를 저장한다. -> Authentication 의 details 속성에 저장한다. WebAuthenticationDetails 는 기본적으로 remoteAddress 와 SessionId 는 가지고 있다. AuthenticationDetailsSource 는 WebAuthenticationDetails 객체를 사용한다.. 공감수 0 댓글수 0 2022. 2. 28.
CustomAuthenticationProvider 개요 사용자의 이름과 패스워드를 받아서 검증해서 AuthenticationManager 에게 전달하는 AuthenticationProvider 를 커스텀 해서 구현해 보려고 한다. AuthenticationProvider 위와 같이 UserDetailService 로 부터 UserDetails 객체를 전달받아 검증하고 그 결과를 다시 AuthenticationManger 에게 전달한다. 코드 CustomAuthenticationProvider 클래스 구현 public class CustomAuthenticationProvider implements AuthenticationProvider { @Autowired private UserDetailsService userDetailsService; @Auto.. 공감수 0 댓글수 0 2022. 2. 28.
AuthenticationManager 와 AuthenticationProvider AuthenticationManager 스프링 시큐리티에서 인증(Authentication)은 AuthenticationManager가 처리한다. AuthenticationProvider 목록 중에서 인증 처리 요건에 맞는 AuthenticationProvider 를 찾아 인증처리를 위임한다. 아래와 같이 부모 ProviderManager 를 설정하여 AuthenticationProvider 를 계속 탐색 할 수 있다. public interface AuthenticationManager { Authentication authenticate(Authentication authentication) throws AuthenticationException; } authentication 이 유효한 인증인지 확.. 공감수 0 댓글수 0 2022. 2. 28.
Security Config 스프링 시큐리티 의존성 추가 스프링 시큐리티 의존성만 추가해도 서버가 기동되면 스프링 시큐리티의 초기화 작업 및 보안 설정이 이루어진다. 별도의 설정이나 구현을 하지 않아도 기본적인 웹 보안 기능이 현재 시스템에 연동되어 작동한다. 모든 요청은 인증 되어야 자원에 접근이 가능하다. 인증 방식은 폼 로그인 방식과 httpBasic 로그인 방식을 제공한다. 기본 로그인 페이지를 제공한다. 기본 계정을 한개 제공한다. WebSecurityConfigurerAdapter 스프링 시큐리티의 웹 보안 기능을 초기화 및 설정하는 역할을 한다. HttpSecurity 를 생성한다. -> HttpSecurity 는 세부적인 보안 기능을 설정할 수 있는 API 를 제공한다. HttpSecurity는 위와 같이 인증 API.. 공감수 0 댓글수 0 2022. 2. 28.
SecurityContextHolder 와 FilterChainProxy FilterChainProxy springSecurityFilterChain 의 이름으로 생성되는 필터 빈이며, Security Filter 들을 관리하는 빈이다. DelegatingFilterProxy 으로 부터 요청을 위임 받고 실제 보안 처리한다. 스프링 시큐리티 초기화 시 생성되는 필터들을 관리하고 제어한다. FilterChainProxy는 요청에 따라 적합한 SecurityFilterChain 을 사용한다. 기본 전략으로 DefaultSecurityFilterChain을 사용한다. -> DefaultSecurityFilterChain 는 Filter 리스트를 가지고 있다. 사용자의 요청을 필터 순서대로 호출하여 전달한다. 사용자정의 필터를 생성해서 기존의 필터 전.후로 추가 가능하다. 아래에서 .. 공감수 0 댓글수 0 2022. 2. 28.
SecurityContextHolder, AuthenticationManager, ThreadLocal SecurityContext, SecurityContextHolder SecuuryContext Authentication 제공한다. Authentication 객체가 저장되는 보관소로 필요 시 언제든지 Authentication 객체를 꺼내어 쓸 수 있도록 제공되는 클래스다. ThreadLocal 에 저장되어 아무 곳에서나 참조가 가능하도록 설계되어 있다. 인증이 완료되면 HttpSession 에 저장되어 어플리케이션 전반에 걸쳐 전역적인 참조가 가능하다. SecurityContextHolder SecurityContext를 제공하고, 기본적으로 ThreadLocal을 사용한다. 위의 정보들은 같은 쓰레드내에서 공유하는 정보이다. -> 만약에 쓰레드가 달라지면? -> SecurityContextHold.. 공감수 0 댓글수 0 2022. 2. 28.
스프링 시큐리티 아키텍처 Spring Security Architecture Spring Security Architecture 를 그림으로 나타내면 아래와 같다. 요청이 들어오면 서블릿 필터중에 DeligationFilterProxy 라는 필터가 FilterChainProxy를 SecurityFilterAutoConfiguration 이라는 이름의 빈으로 등록 한다. FilterChainProxy 는 요청에 따라 적합한 필터들이 체인형태로 구성된 SecurityFilterChain 을 사용한다. -> 이는 WebSecurity 에 의해서 만들어진다. 이러한 필터들이 사용하는 객체들이 있는다. 인증 -> AuthenticationManager 인가 -> AccessDecisionManager AuthenticationManage.. 공감수 0 댓글수 0 2022. 2. 28.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.