Spring Security 파일 설정하기

@Configuration
@RequiredArgsConstructor
public class WebSecurityConfig {

    private final UserDetailService userService;

    @Bean
    public WebSecurityCustomizer configure() {
        return (web) -> web.ignoring()
                .requestMatchers(toH2Console())
                .requestMatchers("/static/**");
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        return http
                .authorizeRequests(auth -> auth
                        .requestMatchers("/login", "/signup", "/user").permitAll()
                        .anyRequest().authenticated()
                )
                .formLogin(formLogin -> formLogin
                        .loginPage("/login")
                        .defaultSuccessUrl("/articles")
                )
                .logout(logout -> logout
                        .logoutSuccessUrl("/login")
                        .invalidateHttpSession(true)
                )
                .csrf(AbstractHttpConfigurer::disable)
                .build();
    }

    @Bean
    public DaoAuthenticationProvider daoAuthenticationProvider() throws Exception {
        DaoAuthenticationProvider daoAuthenticationProvider = new DaoAuthenticationProvider();

        daoAuthenticationProvider.setUserDetailsService(userService);
        daoAuthenticationProvider.setPasswordEncoder(bCryptPasswordEncoder());

        return daoAuthenticationProvider;
    }

    @Bean
    public BCryptPasswordEncoder bCryptPasswordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

 

 

 

@Bean
public WebSecurityCustomizer configure() {
    return (web) -> web.ignoring()
            .requestMatchers(toH2Console())
            .requestMatchers("/static/**");
}

 

• WebSecurityCustomizer configure()
  이 메서드는 웹 리소스에 대한 보안 설정을 정의합니다.
  특정 경로에 대해 보안 필터를 거치지 않고 무시하도록 설정할 수 있습니다.
  • web.ignoring()
    여기서는 H2 콘솔 경로(toH2Console())와 정적 리소스 경로(/static/**)에 대해 보안 필터링을 무시하도록 설정합니다. 즉, H2 데이터베이스 콘솔과 정적 파일들(예: CSS, JS, 이미지 등)에 접근할 때는 인증 없이 접근할 수 있다.
• SecurityFilterChain filterChain(HttpSecurity http)
  애플리케이션의 보안 필터 체인을 설정 부분
  요청에 대한 인증, 로그인 페이지 설정, 로그아웃 처리 등을 정의한다.

 

 

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
            .authorizeRequests(auth -> auth
                    .requestMatchers("/login", "/signup", "/user").permitAll()
                    .anyRequest().authenticated()
            )
            .formLogin(formLogin -> formLogin
                    .loginPage("/login")
                    .defaultSuccessUrl("/articles")
            )
            .logout(logout -> logout
                    .logoutSuccessUrl("/login")
                    .invalidateHttpSession(true)
            )
            .csrf(AbstractHttpConfigurer::disable)
            .build();
}

• filterChain()
  
  

1.  authorizeRequests()
   • 요청에 대한 권한 부여 규칙 정의
     
     
   • requestMatchers("/login", "/signup", "/user").permitAll()
     로그인, 회원가입, 사용자 정보 페이지에 대해서는 모든 사용자가 접근 가능하도록 설정합니다.
     
     
   • anyRequest()
     현재까지 정의된 모든 요청 규칙을 제외한 모든 요청을 선택하는 메서드
     
     
   • authenticated()
     사용자가 인증된 상태여야 해당 요청에 접근할 수 있도록 요구하는 조건 설정.
     즉, 사용자는 유효한 인증 정보를 제공해야 합니다.
2. formLogin()
   • 폼 기반 로그인 설정
     
     
   • loginPage("/login")
     로그인 페이지로 /login 경로 지정
     
     
   • defaultSuccessUrl("/articles")
     로그인 성공 후 사용자가 이동할 기본 경로를 설정
3. logout()
   • 로그아웃 설정
     
     
   • logoutSuccessUrl("/login")
     로그아웃 후 사용자가 /login 페이지로 이동하도록 설정
     
     
   • invalidateHttpSession(true)
     로그아웃 시, 세션을 무효화하여 사용자의 세션 정보 제거
4. csrf(AbstractHttpConfigurer::disable):
   • CSRF 보호 기능을 비활성화
     주로 API 서버나 JWT 기반의 무상태 애플리케이션에서 사용된다

 

 

@Bean
public DaoAuthenticationProvider daoAuthenticationProvider() throws Exception {
    DaoAuthenticationProvider daoAuthenticationProvider = new DaoAuthenticationProvider();

    daoAuthenticationProvider.setUserDetailsService(userService);
    daoAuthenticationProvider.setPasswordEncoder(bCryptPasswordEncoder());

    return daoAuthenticationProvider;
}

• DaoAuthenticationProvider daoAuthenticationProvider()
  • DAO 기반의 인증 제공자 설정
    이 제공자는 데이터베이스에 저장된 사용자 정보를 바탕으로 인증 수행
    
    
  • setUserDetailsService(userService)
    사용자 정보를 로드하는 서비스 설정
    사용자가 로그인할 때 입력한 정보를 userService가 제공하는 데이터베이스의 사용자 정보와 비교함
    
    
  • setPasswordEncoder(bCryptPasswordEncoder())
    비밀번호 암호화 방식 설정
    BCryptPasswordEncoder를 사용하여 사용자의 비밀번호를 안전하게 암호화하고 검증함

@Bean
public BCryptPasswordEncoder bCryptPasswordEncoder() {
    return new BCryptPasswordEncoder();
}

• BCryptPasswordEncoder bCryptPasswordEncoder()
  • 비밀번호 암호화를 위한 BCrypt 알고리즘을 사용하는 빈
    사용자의 비밀번호를 해시화하고, 로그인 시 입력된 비밀번호를 저장된 해시 값과 비교하여 인증한다.

---

1. 정적 리소스와 H2 콘솔에 대한 보안 필터링을 무시.
2. 로그인 페이지와 로그인 성공 후 리다이렉트 설정.
3. 로그아웃 시 세션 무효화와 로그아웃 후 리다이렉트 설정.
4. CSRF 보호 비활성화.
5. 사용자 인증을 위해 BCrypt 비밀번호 암호화 및 데이터베이스를 사용하는 DAO 인증 제공자 설정.

 

---

해당 글은 아래 도서의 내용을 참고하며 정리한 개인학습용 글입니다. 
스프링 부트 3 벡엔드 개발자 되기 - 자바 편, 신선영