Spring Security 분석

Deep Dive/BACK

Spring Security 분석

MoonJay 2023. 6. 20. 01:16

아키텍처

로그인 시작부터 하나하나 분석해보겠습니다.

사용자가 로그인을 시도합니다.

<form role="form" method="post" action="/members/login">
....
</form>

로그인을 했을 때 Post방식으로 /members/login으로 요청을 하면 spring security가 아 이것은 로그인을 요청하는 것이구나 인식하고 로그인 절차를 진행합니다.

어떻게 로그인 절차로 인식할수있을까요?

spring은 기본적으로 action 속성이 /login으로 끝나고 post방식으로 전송되는 경우 해당 요청을 로그인 처리로 간주합니다.

하지만 이것은 사용자가 커스터마이징 할 수 있습니다.

http.formLogin().loginProcessingUrl("/custom/login")

이와 같이 설정하면 action="/custom/login" 인경우도 로그인 요청으로 인식합니다

로그인 요청을 스프링 시큐리티가 인터셉트합니다.

WebSecurityConfigurerAdapter를 상속한 구성 클래스에서 구현이 이루어집니다.

이 클래스에서는 configure(HttpSecurity http)메서드를 오버라이드 하여 보안 필터체인을 구성합니다.HttpSecurity객체는 보안 관련 설정을 구성하는데 사용됩니다.

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/login").permitAll() // 로그인 페이지는 인증 없이 접근 가능
                .anyRequest().authenticated() // 그 외의 모든 요청은 인증 필요
                .and()
            .formLogin()
                .loginPage("/login") // 로그인 페이지 경로
                .defaultSuccessUrl("/dashboard") // 로그인 성공 시 이동할 페이지
                .permitAll()
                .and()
            .logout()
                .logoutUrl("/logout") // 로그아웃 URL
                .logoutSuccessUrl("/login") // 로그아웃 후 이동할 페이지
                .permitAll();
    }
    
    // 인증 매니저 구성 등 추가 설정 가능
    // ...
}

이와 같이 스프링 시큐리티의 구성 클래스에서 configure(HttpSecurity http) 메서드를 사용하여 필터 체인을 정의하고, 요청을 인터셉트하여 보안 설정을 적용합니다.

그럼 로그인을 요청하는 경우엔 어떨까요?

로그인을 요청하면 사용자의 인증 정보를 검사하고 인증을 수행하는 UsernamePasswordAuthenticationFilter가 필요합니다. 일반적으로 http.formLogin()을 호출하여 폼 기반 인증을 활성화할 수 있습니다.

 http.formLogin()
                .loginPage("/members/login")
                .loginProcessingUrl("/members/login")
                .defaultSuccessUrl("/")
                .usernameParameter("email")
                .failureUrl("/members/login/error")
                .and()
                .logout()
                .logoutRequestMatcher(new AntPathRequestMatcher
                        ("/members/logout"))
                .logoutSuccessUrl("/")
        ;

이렇게 설정하면 스프링 시큐리티는 폼을 통한 로그인 요청을 처리하기 위해 UsernamePasswordAuthenticationFilter를 내부적으로 생성하고 보안 필터 체인에 추가합니다. 즉 로그인 요청은 UsernamePasswordAuthenticationFilter에 의해 처리되는 것입니다. 이 필터는 attemptAuthentication() 메서드에서 이메일/사용자명과 비밀번호를 추출하여 Authentication 객체에 담아서 AuthenticationManager에 전달합니다. attemptAuthentication() 메서드는 인증 작업을 수행하기 전에 사용자가 전달한 인증 정보를 검사하고 처리하는 역할을 합니다.

인증 작업을 수행합니다

AuthenticationManager는 등록된 AuthenticationProvider를 순차적으로 호출하여 인증 작업을 수행합니다.

일반적으로 UserDtailsService를 구현한 클래스 MemberService도 AuthenticationProvider 중 하나인 DaoAuthenticationProvider가 호출 될 때 사용됩니다.

DaoAuthenticationProvider는 내부적으로 UserDetailsService를 사용해 사용자의 세부정보를 가져온 후 인증 작업을 수행합니다.

UserDetailsService는 사용자의 자세한 정보를 로드하는 역할을 수행하는 인터페이스입니다.

loadUserByUsername() 메서드를 구현하여 DB에서 특정 사용자의 UserDetails 객체를 로드합니다.

 @Override
    public UserDetails loadUserByUsername(String email) throws UsernameNotFoundException {

        Member member = memberRepository.findByEmail(email);

        if(member == null){
            throw new UsernameNotFoundException(email);
        }

        return User.builder()
                .username(member.getEmail())
                .password(member.getPassword())
                .roles(member.getRole().toString())
                .build();
    }

다시 말해 AuthenticationManager는 등록된 AuthenticationProvider들을 호출하며, 그 중에는 DaoAuthenticationProvider가 포함 될 수 있고, DaoAuthenticationProvider는 UserDetailsServcie를 활용하여 MemberService의 loadUserByUsername() 메서드를 호출하여 사용자의 정보를 가져오고 UserDetails 객체를 생성하여 반환합니다.

이때 loadUserByUsername() 메서드는 내부적으로 호출되는 메소드로서 호출한 곳으로 반환하는 방식이 아닙니다.

이 반환된 UserDetails 객체는 최종적으로 Authentication 객체에 설정됩니다.

사용자가 입력한 값과 db에서 가져온 UserDetails의 비교는 DaoAuthenticationProvider에서 진행합니다.

비교한 뒤 입력한 값과 db 값이 일치하면 Authenticaiton은

UsernamePasswordAuthenticationToken을 사용하여 인증된 사용자를 나타냅니다.

이 토큰은 Authentication 객체의 일부로 설정되고 Principal 객체로서 인증된 사용자를 나타냅니다.

이 Authentication 객체를 다시 AuthenticationManager를 거쳐 AuthenticationFilter의 securityContext 안에 저장합니다.

일반적으로 SecurityContext는 스레드 로컬을 통해 사용됩니다. 즉 각각의 스레드에서 독립적으로 SecurityContext를 유지하여 여러 사용자가 동시에 애플리케이션에 접근할 때, 각 사용자의 인증 정보를 정확하게 유지합니다.

spring security는 SecurityContextHolder클래스를 제공하여 SecurityContext에 접근하고 조작할 수 있는 API를 제공합니다. SecurityContextHolder를 통해 현재 사용자의 Authentication 객체를 가져오거나 새로운 객체를 설정할 수 있습니다.

이 authentication 객체를 통해 권한 설정을 할 수 있습니다.

지금까지 정리한 것을 바탕으로 실제 코드를 구성해보았습니다.

@Configuration 및 @EnableWebSecurity 이 주석은 SecurityConfig 클래스가 Spring Security용 클래스이며

이 애플리케이션에서 웹 보안 기능을 활성화함을 나타냅니다.

http.formLogin() 메서드는 양식기반 인증을 구성하는데 양식 로그인에 대한 로그인 페이지, 성공 URL,

실패 URL 및 기타 관련 설정을 설정합니다.