Join

$$config title: csrf 토큰 검사 적용 keywords: - IT - Spring Boot - Spring Security $$ # csrf 토큰 검사 적용 [SpringSecurity 정리](https://slog.gg/p/930) [SpringSecurity 간단 적용](https://slog.gg/p/953) [SpringSecurity 간단 적용2](https://slog.gg/p/954) [csrf 토큰 검사 적용](https://slog.gg/p/957) --- ### SecurityConfig ```java package com.exam.security.securityExam; import com.exam.security.service.MemberService; import lombok.AllArgsConstructor; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.builders.WebSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder; import org.springframework.security.crypto.password.PasswordEncoder; import org.springframework.security.web.util.matcher.AntPathRequestMatcher; @Configuration @EnableWebSecurity @AllArgsConstructor public class SecurityConfig extends WebSecurityConfigurerAdapter { private MemberService memberService; @Override public void configure(WebSecurity webSecurity) throws Exception{ // static 디렉터리 하위 파일들은 인증없이 언제나 통과 webSecurity.ignoring().mvcMatchers("/css/**", "/js/**", "/img/**", "/lib/**"); } @Override protected void configure(HttpSecurity httpSecurity) throws Exception{ httpSecurity // .csrf().disable() // csrf 토큰검사 비활성화코드 .authorizeRequests() .mvcMatchers( "/member/login" , "/member/join").anonymous() // 인증하지 않은 사용자만 접근 가능 .mvcMatchers( "/").permitAll() // 누구나 접근 가능 .mvcMatchers( "/admin/**").hasRole("ADMIN") // ADMIN 권한을 가진 계정만 접근 가능 .mvcMatchers( "/member/mypage").hasRole("MEMBER") // MEMBER 권한을 가진 계정만 접근 가능 .anyRequest() // antMatchers로 지정한 페이지 이외의 다른모든 페이지 .authenticated() // 인증이 된 사용자만 접근할 수 있도록 제한 .and()// 로그인 설정 시작 .formLogin() // form을 통해 로그인 활성 .loginPage("/member/login") // 로그인 페이지 접근할 때 띄워줄 페이지, 지정하지 않으면 Spring Security에서 제공하는 기본 폼이 나온다. loginPage(지정주소)의 지정주소가 controller에서 @GetMapping으로 받는 주소가일치해야 한다. .loginProcessingUrl("/doLogin") // 로그인 처리 URL 설정 .usernameParameter("loginId") // form에서 보내는 loginId를 받을 파라미터 key값 .passwordParameter("loginPw") // loginPw를 받을 파라미터 key값, 둘다 input의 name과 일치하도록. .defaultSuccessUrl("/") .and() //로그아웃 설정 시작 .logout() // 로그아웃 관련 설정 진행을 돕는 LogoutConfigurer<> 클래스를 반환. .logoutRequestMatcher(new AntPathRequestMatcher("/member/logout")) // 로그아웃 주소 지정(따로 getMapping 할 필요는 없다) .logoutSuccessUrl("/") // 로그아웃 성공 후 이동페이지 .invalidateHttpSession(true); // 로그아웃 시 인증정보 지우기, 세션 무효화 } @Bean public PasswordEncoder passwordEncoder(){ // 비밀번호 암호화 객체 return new BCryptPasswordEncoder(); } @Override public void configure(AuthenticationManagerBuilder auth) throws Exception{ auth.userDetailsService(memberService).passwordEncoder(passwordEncoder()); } // spring security의 인증은 AuthenticationManager를 통해 이루어진다. // AuthenticationManager를 생성하기 위해 AuthenticationManagerBuilder 사용. // 인증을 위해서 UserDetailsService를 통해 필요한 정보를 가져온다. // MemberService에서 UserDetailsService 인터페이스를 implements해서 loadUserByUsername() 구현. } ``` - 앞서 SecurityConfig 클래스에서 설정할 때 .csrf().disable() 로 csrf 토큰을 비활성해 해두었었다. - 위와 같이 주석 처리하여 csrf 검사를 활성화한다. - csrf 토큰을 적용하게 되면 post 로 데이터를 보낼 때 csrf 토큰을 넣어 함께 보내주어야 한다. - 더불어 mvcMatchers로 설정한 부분도 수정 - .mvcMatchers("/member/login" , "/member/join").anonymous() - anonymous()가 추가되었는데 인증되지 않은 사용자에게만 허용한다. - 회원가입, 로그인 같은 경우 인증 후에는 들어가면 안되기에 인증되지 않은 사용자만 접근 가능하도록 제한해두었다. - permitAll() 로 허용한 곳은 index페이지이다. --- ### 회원가입, 로그인 페이지에 csrf 토큰 적용 - 타임리프 - #### 회원가입 **src/main/resources/templates/usr/member/join.html** ```html Join

``` #### 로그인 **src/main/resources/templates/usr/member/login.html** ```html login

``` - html 태그에 xmlns:th="http://www.w3.org/1999/xhtml" 를 추가하여 타임리프 사용 - 둘 다 form 태그 안에 hidden으로 csrf 토큰을 넣어준다. - csrf 토큰이 적용되지 않을 시 에러페이지로 이동한다. #### 에러페이지 ![https://i.imgur.com/5XSV7wt.png](https://i.imgur.com/5XSV7wt.png) --- ### th:action - 타임리프의 th:action으로도 csrf 토큰 적용이 가능하다. - th:action을 사용하면 csrf토큰이 자동으로 추가된다. - join.html에 예시로 구현 - form 태그의 action 대신 th:action을 사용 ```html ```