welcome

$$config title: Spring Security keywords: - IT - Spring boot - Spring Security - Java $$ # Spring Security 정리 [SpringSecurity 정리](https://slog.gg/p/930) [SpringSecurity 간단 적용](https://slog.gg/p/953) [SpringSecurity 간단 적용2](https://slog.gg/p/954) [csrf 토큰 검사 적용](https://slog.gg/p/957) ## SpringSecurity 간략설명 - Spring 기반의 애플리케이션의 보안(인증과 권한, 인가 등)을 담당하는 스프링 하위 프레임워크 - 원래 Java8 이상에서 사용 가능하지만 빌드가 현대화 됨에 따라 현재는 거의 11 이상에서 사용 - Spring Framework도 최신 버전 사용을 권장 - 인증, 인가에 대한 것을 대부분 Filter 흐름에 따라 처리 - Filter는 DispatcherServlet으로 가기전 적용되므로 가장 먼저 URL 요청을 받는다. - Interceptor의 경우에는 DispatcherServlet과 Controller 사이에 위치하여 적용시기가 차이난다. - csrf 공격(Cross Site Request Forgery, 사이트간 요청 위조)을 방어할 수 있다. - csrf 공격은 주로 인증(로그인)된 사용자에게 발생 - Spring Security에서 http 요청에 무작위로 생성된 csrf토큰이 포함되어야 요청을 실행. - 서버단에서 세션에 무작위로 생성된 csrf 토큰을 저장, 사용자에게 전달한다. - 사용자는 요청에 이 csrf 토큰을 함께 보내야 요청이 실행된다. - 기본적으로 세션-쿠키 방식 사용 ## 인증/인가 - 인증(Authentication) - 해당 사용자 본인 확인 - 로그인을 인증 이라고 할 수 있다. - 로그인아이디와 비밀번호로 사용자 본인이 맞는지 확인 - 인가(Authorization) - 인증된 사용자가 요청한 자원에 접근 가능한지 확인 절차 - 많이 사용하는 권한 이름으로는 ADMIN, MEMBER 등이 있다. - 인증을 받은 후에 관리자인지, 일반 회원 인지 권한을 체크하는 것 - 예를 들어 관리자 페이지로 들어가기 위해선 로그인으로 인증함과 동시에 관리자 권한도 갖고 있어야 한다. ## 로그인 시 - 브라우저에서 아이디와 비밀번호를 입력하고 로그인 요청을 보낸다. - AuthenticationFilter가 요청을 받아서 UsernamePasswordAuthenticationToken 생성 - UsernamePasswordAuthenticationToken 는 해당 요청을 처리할 Provider를 찾는다. - Authentication Manager가 List 형태로 Provider 들을 갖고 있다. - 그 중 처리 가능한 Provider 선택 - UserDetailsService의 loadUserByUsername 메소드 실행 - UserDetailsService를 구현하여 loadUserByUsername 메소드를 오버라이드 해둔다. - DB에 저장된 사용자 정보를 꺼내 UserDetails, 혹은 User 형태로 반환한다. - 인증 완료되면 Authentication 객체를 SecurityContextHolder 안에 저장한다. ### SecurityContextHolder - 보안 주체의 세부 정보를 포함하여 응용프래그램의 현재 보안 컨텍스트에 대한 세부 정보를 저장 ### SecurityContext - Authentication을 보관하는 역할을 하며, SecurityContext를 통해 Authentication 객체를 꺼내올 수 있다. ### Authentication - 현재 접근하는 주체의 정보와 권한을 담는 인터페이스이다. - Authentication 객체는 Security Context에 저장되며, SecurityContextHolder를 통해 SecurityContext에 접근하고, SecurityContext를 통해 Authentication에 접근할 수 있다. ### WebSecurityConfigurerAdapter - Spring Security 웹 보안 기능을 초기화 및 설정 담당 - URL 접근 시 인증이 필요한 경우, 특정 권한이 필요한 경우, 모두가 접근 가능한 경우 등을 설정할 수 있다. ## 간단예제 ### 의존성 추가 --- #### 환경 - intellij - JDK 11 - gradle --- #### build.gradle ``` dependencies { implementation 'org.springframework.boot:spring-boot-starter-web' implementation 'org.springframework.boot:spring-boot-starter-thymeleaf' compileOnly 'org.projectlombok:lombok' annotationProcessor 'org.projectlombok:lombok' testImplementation 'org.springframework.boot:spring-boot-starter-test' implementation 'org.springframework.boot:spring-boot-starter-data-jpa' implementation 'mysql:mysql-connector-java' } ``` - spring web, thymeleaf, lombok, test 의존성을 우선 추가. - gradle은 의존관계가 있는 라이브러리를 함께 다운로드 한다. - spring boot 라이브러리(spring-boot-starter-web) - spring-boot-starter-tomcat - spring-webmvc - spring-boot-starter-thymeleaf(타임리프 템플릿 엔진) - spring-boot-starter-test - junit - mockito - spring-test - assertj - spring-boot-starter-data-jpa - spring-data-jpa를 사용하기 위함. - save, findOne, findAll 등 기본 메소드 제공 뿐만 아니라 메소드 이름에 따라 쿼리를 자동으로 작성하여 데이터를 가져온다. - mysql-connector-java - DB는 MySQL을 사용한다. - spring-boot-starter(공통) - spring boot - spring-core - spring-boot-starter-logging - logback, slf4j --- #### index페이지 테스트 - resource/static에 index.html파일을 올려두면 http://localhost:8080에 들어가면 자동으로 index.html 페이지로 이동. ```html welcome

hihi

``` - index.html을 위와 같이 간단히 구현만 하고 실행 뒤 확인해보기 --- #### 다음 [SpringSecurity 간단 적용](https://slog.gg/p/953)