Spring Security > 대략적인 동작 구조 1

[jowoohyeong]

공부하는 이유

러닝커브가 높은 Spring Security

• 실무 프로젝트를 진행할 때는 이미 Spring Security가 이미 구현되어 사용되고 있기 때문에 신규 프로젝트를 할 때 이외에는 볼 일이 별로 없는 부분이다.
  • 인증과 권한 등의 많은 기능을 편리하게 적용할 수 있도록 도와주는 라이브러리이지만 사용법은 결코 만만치 않다.
  • 스프링과 JAVA공식 문서들이 그렇지만 방대한 내용과 설명이 많아 학습하는 것도 쉽지 않다. ((요즘 React나 Vue같은 프론트엔드 공식 문서는 너무나도 잘 되어 있는 추세라고 한다.))

[jowoohyeong]

가장 먼저 Spring Security의 동작 구조를 먼저 이해하는 것이 학습 + 개발의 리소스를 줄여주는 방법이라 생각한다.

Spring Security 동작 구조

• Spring Security의 동작 구조를 이해하면 설정과 추가적인 구현 및 변경이 어느 부분에 적용되어야 되는지 파악이 빨라진다.
• Spring Security는 각각의 역할에 맞는 작업을 처리하는 여러 개의 필터들이 체인 형태로 구성되어 순서에 따라 순차적으로 수행된다. 그 중 UsernamePasswordAuthenticationFilter가 인증 처리를 담당하고 있다.

[jowoohyeong]

Spring Security Flow Communication Diagram

[Spring Security 동작구조]

[jowoohyeong]

1. 로그인 정보를 담아 서버에 인증을 요청한다.

doFilter(request : HttpServletRequest, respon: HttpServletResponse)

• 브라우저의 로그인 화면에서 아이디와 비번을 입력하고 확인을 누르면 서버에 로그인 인증 요청을 하게 되고 Spring Security에 Chain형태로 구성된 Filter들의 doFilter 메소드들이 순서에 따라 호출되어 각각의 역할 로직들이 수행된다.

  2. 인증 처리를 담당하는UsernamePasswordAuthenticationFilter가 실행된다.

  attemptAuthentication(request: HttpServletRequest, response: HttpServletResponse) : Authentication

• AbstractAuthenticationProcessingFilter 추상 클래스의 추상 메소드 attemptAuthentication를 호출하여 요청을 처리하게 된다. attemptAuthentication 추상 메소드의 구현은 상속한 UsernamePasswordAuthenticationFilter에 구현되어 있다.
• 추후 외부 인증을 위한 작업을 할 때 UsernamePasswordAuthenticationFilter기능을 대신하는 커스텀 필터를 추가하게 된다.
• 인증 성공 실패에 따라 AuthenticationSurccessHandler, AuthenticationFailureHandler를 최종적으로 호출하게 된다.
• 인증이 성공했다면 리턴 값 UsernamePasswordAuthenticationToken를 세션에 저장한다.

3. AuthenticationManager가 적절한 AuthenticationProvider를 찾는다.

authenticate(authRequest):Authentication

• AuthenticationManager는 인터페이스이며 구현체는 ProviderManger이다. ProviderManager는 실제 인증을 처리하는 로직이 포함된 AuthenticationProvider 인터페이스의 구현체들 등에 설정된 인증 처리 방식의 구현체를 찾아 실행한다.

4. 실제 인증 처리하는 AuthenticationProvider의 인증 처리 메소드를 호출한다.

• 일반적으로 클라이언트에서 아이디 비번을 받아 인증하는 방식을 사용한다면 AuthenticationProvider 인터페이스의 구현체 AbstractUserDetailsAuthenticationProvide 추상 클래스를 호출하게 되고 실제 상속한 클래스의 DaoAuthenticationProvider에서 인증 처리를 하게 된다.

5. 인증제공자는 UserDetailsService를 호출하여 사용자를 가져온다.

loadUserByUsername(username:String):UserDetails

• 개발자는 UserDetailsService 인터페이스를 구현해야 한다.
• UserDetailsService의 구현체에는 일반적으로 회원정보가 DB에 있다고 한다면 사용자의 이름(ID)로 DB를 조회하여 비밀번호가 일치하는지 확인하여 인증을 처리한다. 인증이 완료되면 UsernamePasswordAuthenticationToken에 회원정보를 담아 리턴하게 된다.

[jowoohyeong]

https://kimchanjung.github.io/programming/2020/07/01/spring-security-01/