seungriyou
commented
9 months ago 1. 기본
1. 실습 목표 및 간단한 동작 원리
서블릿 컨테이너 내에는 필터가 존재하여 요청이 필터를 거쳐서 들어오게 된다.
Spring Security Config는 필터를 만들어서, 어떤 요청이 어떤 컨트롤러에 권한이 있는지를 확인한다.
2. 프로젝트 생성
현재는 스프링 시큐리티가 전체 페이지에 적용되어 있다!
추후 시큐리티 config 클래스를 생성해서 어떤 페이지에 적용할지 지정해야 한다.
다음과 같이 스프링 시큐리티에서 비밀번호를 제공해주는데, 이때 id는 user 로 작성하면 로그인이 가능하다.
3. Security Config 클래스
인가
특정한 경로에 요청이 오면 Controller 클래스에 도달하기 전 필터에서 Spring Security가 검증을 한다.
- 해당 경로의 접근은 누구에게 열려 있는지
- 로그인이 완료된 사용자인지
- 해당되는 role을 가지고 있는지
Security Configuration
@Configuration
@EnableWebSecurity
public class SecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
// 람다식으로 작성
// 작성 순서대로 우선순위 부여되므로 주의
.authorizeHttpRequests((auth) -> auth
.requestMatchers("/", "/login").permitAll()
.requestMatchers("/admin").hasRole("ADMIN")
.requestMatchers("/my/**").hasAnyRole("ADMIN", "USER") // wildcard 사용 가능
.anyRequest().authenticated() // 로그인 한 사용자들은 접근 가능하도록
);
return http.build(); // 빌드해서 리턴
}
}admin 페이지도 생성해보았다. 아직 role 관련 기능을 구현하지 않았으므로 액세스 거부가 뜬다!
버전별 Security Config 구현 방법
스프링 시큐리티의 경우, 버전별로 구현 방법이 많이 다르므로 버전마다 구현 특징을 확인해야 한다.
스프링 부트 2.7.X 버전부터 SecurityFilterChain 인터페이스를 리턴하는 스프링 빈 등록해야 하는 형태로
스프링 부트 3.1.X 버전부터 람다 형식 표현 필수!
public class SpringSecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests((auth) -> auth
.requestMatchers("/login", "/join").permitAll()
.anyRequest().authenticated()
);
return http.build();
}
}4. 커스텀 로그인 설정
커스텀 로그인 페이지
아이디, 비밀번호 → POST 요청 경로
Security Config에 추가
@Configuration
@EnableWebSecurity
public class SecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
...
// === 로그인 === //
http
.formLogin((auth) -> auth.loginPage("/login") // 로그인 페이지 경로 (admin 페이지 접근 시 자동으로 리다이렉트)
.loginProcessingUrl("/loginProc") // POST 방식으로 로그인 데이터를 넘긴다.
.permitAll() // 누구나 들어올 수 있다.
);
// 개발 환경에서는 잠시 disable 시켜두자.
http
.csrf((auth) -> auth.disable()); // 스프링 시큐리티에서는 기본적으로 csrf 설정이 되어있는데, 이러면 POST 시 csrf 토큰도 보내주어야 한다.
return http.build(); // 빌드해서 리턴
}
}
Contents
H2 URL
그냥 MySQL로 바꿨다... #17