OAuth2 설정 파일 작성하기

 

@RequiredArgsConstructor
@Configuration
public class WebOAuthSecurityConfig {

	// 스프링 시큐리티 기능 비활성화 
    @Bean
    public WebSecurityCustomizer configure() {
        return (web) -> web.ignoring()
                .requestMatchers(toH2Console())
                .requestMatchers("/img/**", "/css/**", "/js/**");
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
       
       // 기존에 사용하던 폼 고르인, 세션 비활성화
       http.csrf(AbstractHttpConfigurer::disable)
                .httpBasic(AbstractHttpConfigurer::disable)
                .formLogin(AbstractHttpConfigurer::disable)
                .logout(AbstractHttpConfigurer::disable);
			
        // 세션을 사용하지 않고, 무상태(Stateless) 방식으로 처리하도록 설정
        http.sessionManagement(sessionManagement -> sessionManagement
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS));

		// 헤더를 확인할 커스텀 필터 추가
        http.addFilterBefore(tokenAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);

        http.authorizeHttpRequests(request -> request
                .requestMatchers("/api/token").permitAll()
                .requestMatchers("/api/**").authenticated()
                .anyRequest().permitAll());
		
        // oauth2Login
        http.oauth2Login(oauth2Login -> oauth2Login
                .loginPage("/login")
                .authorizationEndpoint(authorizationEndpoint -> authorizationEndpoint
                        .authorizationRequestRepository(oAuth2AuthorizationRequestBasedOnCookieRepository()))
                .successHandler(oAuth2SuccessHandler())
                .userInfoEndpoint(userInfoEndpoint -> userInfoEndpoint
                        .userService(oAuth2UserCustomService)));

		// 로그아웃
        http.logout(logout -> logout
                .logoutSuccessUrl("/login"));

		// 예외처리
        http.exceptionHandling(exceptionHandling -> exceptionHandling
                .defaultAuthenticationEntryPointFor(new HttpStatusEntryPoint(HttpStatus.UNAUTHORIZED),
                        new AntPathRequestMatcher("/api/**")));


        return http.build();
    }

	
    @Bean
    public OAuth2SuccessHandler oAuth2SuccessHandler() {
        return new OAuth2SuccessHandler(tokenProvider,
                refreshTokenRepository,
                oAuth2AuthorizationRequestBasedOnCookieRepository(),
                userService
        );
    }

    @Bean
    public TokenAuthenticationFilter tokenAuthenticationFilter() {
        return new TokenAuthenticationFilter(tokenProvider);
    }

    @Bean
    public OAuth2AuthorizationRequestBasedOnCookieRepository oAuth2AuthorizationRequestBasedOnCookieRepository() {
        return new OAuth2AuthorizationRequestBasedOnCookieRepository();
    }
    
	// 비밀번호를 암호화 한다. 
    @Bean
    public BCryptPasswordEncoder bCryptPasswordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

 

• csrf 비활성화 
  CSRF(Cross-Site Request Forgery) 공격을 방지하기 위한 기능은 Spring Security에서 기본적으로 활성화되어 있다. 하지만 특정 상황에서는 CSRF 보호를 비활성화하는 것이 좋다.
  
  • CSRF 보호는 주로 세션을 사용하는 웹 애플리케이션에서 필요하지만, JWT 기반 인증이나 무상태 API 서버에서는 CSRF 보호가 필요하지 않기 때문에 비활성화한다.
    REST API, OAuth2, JWT 등을 사용하는 애플리케이션에서 CSRF를 비활성화하는 것이 일반적인 이유.
    
    
    CSRF 공격이란?
    : 사용자가 자신의 의지와 무관하게 공격자가 의도한 행동을 해서 특정 웹페이지를 보안에 취약하게 한다거나 수정, 삭제 등의 작업을 하게 만드는 공격 방법

 

• addFilterBefore()
  헤더 값을 확인할 커스텀 필터 추가

 

 

//세션을 사용하지 않고, 무상태(Stateless) 방식으로 처리하도록 설정
http.sessionManagement(sessionManagement -> sessionManagement
.sessionCreationPolicy(SessionCreationPolicy.STATELESS));

무상태(Stateless) 방식은 서버가 클라이언트의 상태 정보를 저장하지 않는 방식. 각 요청은 독립적이며, 이전 요청이나 이후 요청과는 서로 관계가 없습니다. 클라이언트가 요청할 때마다 인증 정보나 필요한 데이터를 함께 보내야 하므로, 서버는 매번 새로운 요청으로 처리하게 된다.

• 장점 : 서버 확장성, 서버가 상태를 관리하지 않기 때문에, 여러 서버에 요청을 분산하거나 새로운 서버를 추가할 때 용이합니다.
  대량의 트래픽이 발생하더라도 서버 자원에 부담이 덜하고 대응이 수월하다.
• 단점 : 데이터 소모, 매번 요청 시 클라이언트가 인증 정보나 기타 상태 정보를 함께 보내야 함.
  요청마다 데이터 양이 늘어나 네트워크 자원이 더 많이 소모다.. Stateful 방식에 비해 데이터 전송 부담이 증가한다.

 

 

http.authorizeHttpRequests(request -> request
    .requestMatchers("/api/token").permitAll()   // "/api/token" 경로는 누구나 접근 가능
    .requestMatchers("/api/**").authenticated()  // "/api/**" 경로는 인증된 사용자만 접근 가능
    .anyRequest().permitAll()                    // 그 외 모든 경로는 인증 여부와 관계없이 접근 가능
);

 

 

• authorizeHttpRequests()
  토큰 재발급 URL 인증 없이 접근이 가능하도록 설정하고 나머지 API들은 모두 인증해야 접근하도록 설정
  • .permitAll() - 모든 접근을 허용한다.
  • .authenticated() - 특정 경로에 대해 인증된 사용자만 접근하도록 함
  • .anyRequest() - 모든 요청에 대한 처리를 지정한다. 설정외 요청들을 설정

 

 

Oauth 로그인 설정

 http.oauth2Login(oauth2Login -> oauth2Login
                .loginPage("/login")
                
                // 인증 요처을 관리하는 방법 설정
                .authorizationEndpoint(authorizationEndpoint -> authorizationEndpoint
                        .authorizationRequestRepository(oAuth2AuthorizationRequestBasedOnCookieRepository()))
                // 성공하였을 때 ( 토큰 또는 리다이렉트 )
                .successHandler(oAuth2SuccessHandler())
                // 사용자 정보를 가져올 때
                .userInfoEndpoint(userInfoEndpoint -> userInfoEndpoint
                        .userService(oAuth2UserCustomService)));

 

• OAuth2 로그인 페이지 경로는 /login 페이지로 설정
• authorizationRequestRepository()
  인증 요청 정보를 어디에 저장할지 결정,
  여기서는  oAuth2AuthorizationRequestBasedOnCookieRepository()를 사용하여 쿠키를 기반으로 인증 요청 정보를 저장
  = OAuth 로그인시 쿠키를 기반으로 인증정보를 저장한다.
• 인증 후 성공 처리 로직(oAuth2SuccessHandler)과 사용자 정보 로드 로직(oAuth2UserCustomService)을 설정

 

// 비밀번호를 암호화 한다. 
@Bean
public BCryptPasswordEncoder bCryptPasswordEncoder() {
    return new BCryptPasswordEncoder();
}

• BCryptPasswordEncoder()
   BCrypt 해시 함수를 사용해 비밀번호를 암호화하는 역할
  해시된 비밀번호는 복호화되지 않으며, 대신 비밀번호가 맞는지 확인하는 과정에서 비교 검증을 수행

 

 

---

해당 글은 아래 도서의 내용을 참고하며 정리한 개인학습용 글입니다. 
스프링 부트 3 벡엔드 개발자 되기 - 자바 편, 신선영