인증 프로세스 적용을 위한 인증 api 개발

[beaniejoy]

• 멀티프로젝트로 전환
  • dongne-account-api
  • dongne-service-api
• 기능 구현
  • 우선 인증 처리 기능만 적용할 것(인가는 추후 적용)
  • 회원가입, 로그인까지
• 스펙
  • Spring Security 적용
  • 다른 외부 모듈 연동하지말고 순수 Security와 Session, DB만으로 구성해볼 것

[beaniejoy]

궁금한 내용

override fun onAuthenticationFailure(
  request: HttpServletRequest,
  response: HttpServletResponse,
  exception: AuthenticationException
) {
  val signInRequest = objectMapper.readValue(request.reader, SignInRequest::class.java)
  //...
}

아래와 같은 에러 발생

java.io.IOException: Stream closed
    at org.apache.catalina.connector.InputBuffer.throwIfClosed(InputBuffer.java:526) ~[tomcat-embed-core-9.0.63.jar:9.0.63]
    at org.apache.catalina.connector.InputBuffer.read(InputBuffer.java:432) ~[tomcat-embed-core-9.0.63.jar:9.0.63]
    at org.apache.catalina.connector.CoyoteReader.read(CoyoteReader.java:108) ~[tomcat-embed-core-9.0.63.jar:9.0.63]
    at com.fasterxml.jackson.core.json.ReaderBasedJsonParser._loadMore(ReaderBasedJsonParser.java:276) ~[jackson-core-2.13.3.jar:2.13.3]
    at com.fasterxml.jackson.core.json.ReaderBasedJsonParser._skipWSOrEnd(ReaderBasedJsonParser.java:2442) ~[jackson-core-2.13.3.jar:2.13.3]
    at com.fasterxml.jackson.core.json.ReaderBasedJsonParser.nextToken(ReaderBasedJsonParser.java:698) ~[jackson-core-2.13.3.jar:2.13.3]
    at com.fasterxml.jackson.databind.ObjectMapper._initForReading(ObjectMapper.java:4761) ~[jackson-databind-2.13.3.jar:2.13.3]
    at com.fasterxml.jackson.databind.ObjectMapper._readMapAndClose(ObjectMapper.java:4667) ~[jackson-databind-2.13.3.jar:2.13.3]
    at com.fasterxml.jackson.databind.ObjectMapper.readValue(ObjectMapper.java:3642) ~[jackson-databind-2.13.3.jar:2.13.3]
    at io.beaniejoy.dongnecafe.common.security.handler.ApiAuthenticationFailureHandler.onAuthenticationFailure(ApiAuthenticationFailureHandler.kt:27) ~[main/:na]

중간에 reader close 된 것인지 궁금(아직 해결 못한 부분)

CSRF

http.csrf().disable()

• Spring Security는 csrf 기능을 default로 가지고 있음
• 이런 상태로 api 방식 인증 설정을 적용해서 인증 api 호출하면 403 Forbidden 에러응답 반환
  • CsrfFilter 코드 보면 actualToken (request header에 담아져서 온 csrf token 값)이 null이어서 AccessDeniedHandler 호출하게 됨
• 위와 같은 이유로 api 방식 인증 프로세스 적용을 위해서는 csrf 기능을 disable 처리해야 한다.

[beaniejoy]

Blog Post

• [Spring] 설정파일과 Bean 사이의 순환참조(circular references) 이슈 및 해결
• Spring Security의 인증 프로세스 정리(form login 인증 방식)
• [Spring Security] API 방식의 인증 프로세스 개발해보기(custom filter, provider 적용)