스프링 시큐리티

스프링 시큐리티의 동작 원리에 대해 공부하고 정리한 내용입니다.

 

 

 

전체 동작과정

 

필터란?

• 스프링 컨테이너 외부에 존재하여 스프링과 무관한 자원에 대해 동작합니다.
• 보통 web.xml에 등록. 인코딩 변환 처리, XSS 방어 등의 요청에 대한 처리로 사용됩니다.

인증과 인가의 차이점

인증 :  해당 사용자가 본인이 맞는지를 확인하는 절차

인가 : 인증된 사용자가 요청된 자원에 대해 접근이 가능한가를 결정하는 절치

 

Servlet Container와 Spring Container

https://mossgreen.github.io/Servlet-Containers-and-Spring-Framework/

 

DelegatingFilterProxy

• Servlet Container와 Spring의 Spring Container를 연결해주는 필터입니다.
• servlet container에 존재하는 필터입니다.
• 필터(Filter)도 스프링에서 관리가 가능하게 해줍니다.
• 요청이 오면 DelegatingFilterProxy가 spring container에 만들어 둔 필터(스프링 빈)에게 요청을 위임합니다.

등장배경
초기에 필터(Filter)는 servlet container에 존재하기 때문에 Spring에서 사용되는 기술을 사용할 수 없었습니다.
필터도 DI와 같은 스프링 기술이 필요해지면서 DelegatingFilterProxy라는 대안을 마련하게 되었습니다.

 

Spring에서 DelegatingFilterProxy를 활용해서 필터를 등록하는 과정

@Component
public class MyFilter implements Filter {

   @Override
   public void doFilter(final ServletRequest request, final ServletResponse response, final FilterChain chain) throws ServletException, IOException {
      chain.doFilter(request, response);
   }

   @Override
   public void init(final FilterConfig filterConfig) throws ServletException {
      Filter.super.init(filterConfig);
   }

   @Override
   public void destroy() {
      Filter.super.destroy();
   }

}
출처: https://mangkyu.tistory.com/221 [MangKyu's Diary:티스토리]

필터 컴포넌트 생성한 것을 볼 수 있습니다.

public class MyWebApplicationInitializer extends AbstractAnnotationConfigDispatcherServletInitializer {

   public void onStartup(ServletContext servletContext) throws ServletException {
      super.onStartup(servletContext);
      servletContext.addFilter("myFilter", DelegatingFilterProxy.class);
   }
}
출처: https://mangkyu.tistory.com/221 [MangKyu's Diary:티스토리]

생성한 필터를 DelegatingFilterProxy 에 넣어줬습니다.

 

이렇게 해서 필터도 스프링 기술을 사용할 수 있게 되었습니다!

 

SpringBoot에서는?
스프링 부트에서는 DelegatingFilterProxy가 필요 없습니다.
스프링 부트는 내장 웹서버를 지원하며 톰캣(servlet conatiner)도 SpringBoot가 제어가 가능해졌습니다.
스프링 부트가 필터를 구현한 빈을 찾으면 바로 필터체인에 필터를 등록해줍니다.

 

FilterChainProxy 

• springSecurityFilterChain 이름으로 생성되는 필터 빈 입니다.
• FilterChainProxy도 처리를 위임하기 위한 SecurityFilterChain을 들고 있습니다.
• 여러개의 SecurityFilterChain들이 담길 수 있습니다.

SecurityFilterChain

• 스프링 시큐리티는 다양한 기능을 가진 필터들을 제공합니다. 이렇게 제공되는 필터들을 Security Filter Chain이라고 합니다.

• 

  여러가지의 Security Filter Chain

• @EnableWebSecurity 어노테이션을 사용해서 SecurityFilterChain을 스프링 filter chain에 등록할 수 있습니다.

인프런 - 스프링 시큐리티 - Spring Boot 기반으로 개발하는 Spring Security

 

스프링부트에서 SecurityFilterChain 등록 코드

@Configuration
@EnableWebSecurity // spring security 필터가 스프링 filter chain에     등록이 됨.
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true) // secured 어노테이션 활성화, preAuthorize, postAuthorize 어노테이션 활성화
public class SecurityConfig {

    @Autowired
    private PrincipalOauth2UserService principalOauth2UserService;

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
         http
                .csrf().disable() // csrf 토큰 disable
                .authorizeRequests()
                .antMatchers("/user/**").authenticated() // 인증만 되면 들어갈 수 있는 주소!
                .antMatchers("/manager/**").access("hasRole('ROLE_ADMIN') or hasRole('ROLE_MANAGER')")
                .antMatchers("/admin/**").access("hasRole('ROLE_ADMIN')")
                .anyRequest().permitAll()
                .and()
                .formLogin()
                .loginPage("/loginForm")
                .loginProcessingUrl("/login") // /login 주소가 호출이 되면 시큐리티가 낚아채서 대신 로그인을 진행해줌. -> 컨트롤러에 /login을 만들어주지 않아도 됨. UserDetailsService의 loadUserByUsername 함수가 실행
                .defaultSuccessUrl("/")
                .and()
                .oauth2Login()
                .loginPage("/loginForm")
                .userInfoEndpoint() // oauth2Login 성공 이후의 설정을 시작 (principalOauth2UserService에서 처리하겠다)
                .userService(principalOauth2UserService); // Tip. 코드받기X, (엑세스토큰 + 사용자프로필정보)를 한 방에 받을 수 있다. OauthClient 라이브러리


                 return http.build();
    }

 

 

 

정리

• 필터는 servlet container영역에 존재
• DelegatingFilterProxy로 FilterChainProxy를 감싸서 필터를 스프링 컨테이너에 등록하고 사용할 수 있게 됨.
• FilterChainProxy는 springSecurityFilterChain 이름으로 생성되는 필터 빈
• FilterChainProxy는 SecurityFilterChain 여러개를 가질 수 있음
• 스프링 부트에서 @EnableWebSecurity 어노테이션을 사용해서 SecurityFilterChain을 스프링 filter chain에 등록할 수 있음.