Spring Security - Githubissues

skarltjr / Memory_Write_Record

나의 모든 학습 기록

0 stars 0 forks source link

Spring Security #6

Open skarltjr opened 3 years ago

skarltjr commented 3 years ago

-Http Basic은 헤더에 어떤 정보가 들어올 지 알고있어서 위험하다 https쓸때만 사용해야한다.

skarltjr commented 3 years ago

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
Object principal = authentication.getPrincipal();

-SecurityContextHolder SecurityContext 제공, 기본적으로 ThreadLocal을 사용한다. 안에 들어있는 객체는 모두 인증된 객체

-SecurityContext Authentication 제공.

-Authentication Principal과 GrantAuthority 제공.

-Principal “누구"에 해당하는 정보. -UserDetailsService에서 리턴한 그 객체. 객체는 UserDetails 타입.

-GrantAuthority: “ROLE_USER”, “ROLE_ADMIN”등 Principal이 가지고 있는 “권한”을 나타낸다. 인증 이후, 인가 및 권한 확인할 때 이 정보를 참조한다.

-UserDetails 애플리케이션이 가지고 있는 유저 정보와 스프링 시큐리티가 사용하는 Authentication 객체 사이의 어댑터.

-UserDetailsService 유저 정보를 UserDetails 타입으로 가져오는 DAO (Data Access Object) 인터페이스.

skarltjr commented 3 years ago

스프링 시큐리티에서 인증(Authentication)은 AuthenticationManager가 한다

< AuthenticationManager 구현체가 ProviderManager > 인자로 받은 Authentication이 유효한 인증인지 확인하고 Authentication 객체를 리턴한다. 인증을 확인하는 과정에서 비활성 계정, 잘못된 비번, 잠긴 계정 등의 에러를 던질 수 있다. Authentication authenticate(Authentication authentication) throws AuthenticationException;

즉 SecurityContextHolder는 Authentication정보를 담고있는 곳이고 인증을 처리하는것이 AuthenticationManager

인자로 받은 Authentication 사용자가 입력한 인증에 필요한 정보(username, password)로 만든 객체. (폼 인증인 경우) Authentication

Principal: “kiseok” -Credentials: “123”

유효한 인증인지 확인 사용자가 입력한 password가 UserDetailsService를 통해 읽어온 UserDetails 객체에 들어있는 password와 일치하는지 확인 해당 사용자 계정이 잠겨 있진 않은지, 비활성 계정은 아닌지 등 확인

Authentication 객체를 리턴 Authentication

Principal: UserDetailsService에서 리턴한 그 객체 (User) -Credentials: -GrantedAuthorities

ThreadLocal

스프링의 Transaction을 쓰는것도 ThreadLocal을 사용하는것

Java.lang 패키지에서 제공하는 쓰레드 범위 변수. 즉, 쓰레드 수준의 데이터 저장소. -같은 쓰레드 내에서만 공유. -따라서 같은 쓰레드라면 해당 데이터를 메소드 매개변수로 넘겨줄 필요 없음. -SecurityContextHolder의 기본 전략.

서블릿기반에서는 하나의 요청 당 하나의 서블릿 -> 하나의 쓰레드를 사용

ex)

public class AccountContext {

    private static final ThreadLocal<Account> ACCOUNT_THREAD_LOCAL
            = new ThreadLocal<>();

    public static void setAccount(Account account) {
        ACCOUNT_THREAD_LOCAL.set(account);
    }

    public static Account getAccount() {
        return ACCOUNT_THREAD_LOCAL.get();
    }

}
위와 같은 클래스를 설정하여 사용하면 파라미터로 Account정보를 넘겨주지않아도 된다.
SecurityContextHolder에서 이미 사용하기때문에 이것을 이용한다. 내부적으로 이런 방법으로 구현되어있다~

AuthenticationManager가 인증을 마친 뒤 리턴 받은 Authentication 객체의 행방은?

UsernamePasswordAuthenticationFilter -폼 인증을 처리하는 시큐리티 필터 -★인증된 Authentication 객체를 SecurityContextHolder에 넣어주는 필터★ -SecurityContextHolder.getContext().setAuthentication(authentication)

SecurityContextPersistenceFilter -SecurityContext를 HTTP session에 캐시(기본 전략)하여 여러 요청에서 Authentication을 ★공유할 수 있 공유하는 필터. -SecurityContextRepository를 교체하여 세션을 HTTP session이 아닌 다른 곳에 저장하는 것도 가능하다

즉 이미 인증된 객체는(만약 토큰이 만료되지않았다면) 다시 인증 할 필요없다 / 만약 세션이 유지되지않으면 x

스프링 시큐리티 Filter와 FilterChainProxy

스프링 시큐리티가 제공하는 필터들 = 모든 필터는 servlet filter

WebAsyncManagerIntergrationFilter
SecurityContextPersistenceFilter
HeaderWriterFilter
CsrfFilter
LogoutFilter
UsernamePasswordAuthenticationFilter
DefaultLoginPageGeneratingFilter
DefaultLogoutPageGeneratingFilter
BasicAuthenticationFilter
RequestCacheAwareFtiler
SecurityContextHolderAwareReqeustFilter
AnonymouseAuthenticationFilter
SessionManagementFilter
ExeptionTranslationFilter
FilterSecurityInterceptor

이 모든 필터는 FilterChainProxy가 호출한다. FilterChainProxy -> Filters

이 필터들은 config(SecurityConfig)에 따라 생성된다. 만약 config에서 http.httpBasic():을 설정하지 않는다면 BasicAuthenticationFilter는 필터에 추가되지 않는다.

skarltjr commented 3 years ago

DelegatingFilterProxy

일반적인 서블릿 필터.
서블릿 필터 처리를 스프링에 들어있는 빈으로 위임하고 싶을 때 사용하는 서블릿 필터.
타겟 빈 이름을 설정한다.
스프링 부트 없이 스프링 시큐리티 설정할 때는 AbstractSecurityWebApplicationInitializer를 사용해서 등록.
스프링 부트를 사용할 때는 자동으로 등록 된다. (SecurityFilterAutoConfiguration)

FilterChainProxy 보통 “springSecurityFilterChain” 이라는 이름의 빈으로 등록된다.

인증 절차에 관한 정리

SecurityContextHolder안에 인증정보 Authentication이 존재
이 인증정보는 AuthenticationManager가 인증을 처리하고
UsernamePasswordAuthenticationFilter를 통해 SecurityContextHolder에 저장
적용되는 필터들은 보통 SecurityConfig에서 설정하는 정보를 바탕으로 필터가 생성되고 FilterChainProxy가 호출한다
FilterChainProxy는 DelegatingFilterProxy를 통해 접근된다

AccessDecisionManager - 이미 인증을 거친 사용자가 특정한 리소스, 매서드에 접근할 때 이를 허용할 지를 판단 = 인가

Access Control 결정을 내리는 인터페이스로, 구현체 3가지를 기본으로 제공한다.

AffirmativeBased: 여러 Voter중에 한명이라도 허용하면 허용. ★기본 전략.
ConsensusBased: 다수결
UnanimousBased: 만장일치

AccessDecisionVoter

해당 Authentication이 특정한 Object에 접근할 때 필요한 ConfigAttributes를 만족하는지 확인한다.
WebExpressionVoter: 웹 시큐리티에서 사용하는 기본 구현체, ROLE_Xxxx가 매치하는지 확인.
RoleHierarchyVoter: 계층형 ROLE 지원. ADMIN > MANAGER > USER

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    /**
     * .mvcMatchers("/User").hasRole("USER") 일 때 Admin은 유저이면서 admin롤을 갖는다
     * 따라서 admin도 user role에 접근할 수 있어야하는데 이대로면 admin은 user role로 접근할 수 없다.
     */
    public SecurityExpressionHandler securityExpressionHandler() {
        RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl();
        roleHierarchy.setHierarchy("ROLE_ADMIN > ROLE_USER");
        /**  게층구조를 설정해주고*/
        DefaultWebSecurityExpressionHandler handler = new DefaultWebSecurityExpressionHandler();
        handler.setRoleHierarchy(roleHierarchy);
        /** 핸들러에 계층구조를 설정*/
        return handler;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .mvcMatchers("/", "/info", "/account/**").permitAll()
                .mvcMatchers("/admin", "/dashBoard").hasRole("ADMIN")
                .mvcMatchers("/User").hasRole("USER")
                .anyRequest().authenticated() // 기타등등은 인증을 하면 접근할 수 있다
                .expressionHandler(securityExpressionHandler());
                //.and() //and로 이어가거나 아니면 Request내용 이후 다른 내용을 추가할 때 새로 http로 시작해주거나
        http
                .formLogin(); //로그아웃도 가능
        http
                .httpBasic(); //httpBasic도 사용하겠다
    }
}

AccessDecisionManager - 이미 인증을 거친 사용자가 특정한 리소스, 매서드에 접근할 때 이를 허용할 지를 판단 = 인가 는 어디에서 사용되는가 ?

FilterSecurityInterceptor AccessDecisionManager를 사용하여 Access Control 또는 예외 처리 하는 필터. 대부분의 경우 FilterChainProxy에 제일 마지막 필터로 들어있다.

인증 과정에서 발생하는 예외 처리 ExceptionTranslationFilter

필터 체인에서 발생하는 AccessDeniedException과 AuthenticationException을 처리하는 필터

AuthenticationException 발생 시 / 인증에 실패한 경우 -> 다시 인증을 하도록

AuthenticationEntryPoint 실행
AbstractSecurityInterceptor 하위 클래스(예, ★FilterSecurityInterceptor)에서 발생하는 예외만 처리.
그렇다면 UsernamePasswordAuthenticationFilter에서 발생한 인증 에러는? ex) 로그인할 때 비밀번호를 틀리는경우는 UsernamePasswordAuthenticationFilter상위 클래스에서 에러처리

AccessDeniedException 발생 시 / 인증은 됐는데

익명 사용자라면 AuthenticationEntryPoint 실행
익명 사용자가 아니면 AccessDeniedHandler에게 위임 ex) // ROLE이 user인데 Admin만 접근가능한 admin페이지에 접근한다면 AccessDenied -> 인증에러가 아니라 AccessDenied라면 다시 로그인(인증)을 하도록

skarltjr commented 3 years ago

SecurityConfig 에서 WebSecurity , HttpSecurity로 설정한 내용을 바탕으로 필터구성
DeligatingFilterProxy를 통해 FilterChainProxy로 필터에 접근
인증은 AuthenticationManager를 통해 처리-> (UsernamePasswordAuthenticationFilter) 인증정보를 SecurityContextHolder에 담고
인가는 FilterSecurityInterCeptor -> AccessDecisionManager를 통해

skarltjr commented 3 years ago

  @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .mvcMatchers("/", "/info", "/account/**").permitAll()
                .mvcMatchers("/admin", "/dashBoard").hasRole("ADMIN")
                .mvcMatchers("/User").hasRole("USER")
                .anyRequest().authenticated() // 기타등등은 인증을 하면 접근할 수 있다
                .expressionHandler(securityExpressionHandler());
                //.and() //and로 이어가거나 아니면 Request내용 이후 다른 내용을 추가할 때 새로 http로 시작해주거나
        http
                .formLogin(); //로그아웃도 가능
        http
                .httpBasic(); //httpBasic도 사용하겠다
    }

    /**  요청 - http filter 적용  / static resource - web */
    @Override
    public void configure(WebSecurity web) throws Exception {
       // web.ignoring().mvcMatchers("/favicon.ico"); // 파비콘 요청은 시큐리티 안걸리도록 그러나 다 설정하기 귀찮으니

        web.ignoring().requestMatchers(PathRequest.toStaticResources().atCommonLocations());
        // 정적리소스 모두에 대해 ignore 적용
    }

Generally mvcMatcher is more secure than an antMatcher. As an example:

antMatchers("/secured") matches only the exact /secured URL mvcMatchers("/secured") matches /secured as well as /secured/, /secured.html, /secured.xyz

WebAsyncManagerIntergrationFilter
SecurityContextPersistenceFilter
HeaderWriterFilter
CsrfFilter
LogoutFilter
UsernamePasswordAuthenticationFilter
DefaultLoginPageGeneratingFilter
DefaultLogoutPageGeneratingFilter
BasicAuthenticationFilter
RequestCacheAwareFtiler
SecurityContextHolderAwareReqeustFilter
AnonymouseAuthenticationFilter
SessionManagementFilter
ExeptionTranslationFilter
FilterSecurityInterceptor

Async 웹 MVC를 지원하는 필터: WebAsyncManagerIntegrationFilter

즉 원래 security Context는 ThreadLocal을 통해 같은 쓰레드내에서 공유가되는데 Async기능을 통해 다른 쓰레드를 사용하는데도 동일한 시큐리티 컨텍스트를 사용할 수 있도록 지원해주는 필터
1. Callable
스프링 MVC의 Async 기능(핸들러에서 Callable을 리턴할 수 있는 기능)을 사용할 때에도 SecurityContext를 공유하도록 도와주는 필터.
PreProcess: SecurityContext를 설정한다.
Callable: 비록 다른 쓰레드지만 그 안에서는 동일한 SecurityContext를 참조할 수 있다.
PostProcess: SecurityContext를 정리(clean up)한다.

★ @Async어노테이션을 서비스에서 사용하는경우

쓰레드가 다르기 때문에 SecurityContext를 공유받지 못한다. -> 설정

@Override
protected void configure(HttpSecurity http) throws Exception {
http
        .authorizeRequests()
        .mvcMatchers("/", "/info", "/account/**").permitAll()
        .mvcMatchers("/admin", "/dashBoard").hasRole("ADMIN")
        .mvcMatchers("/User").hasRole("USER")
        .anyRequest().authenticated() // 기타등등은 인증을 하면 접근할 수 있다
        .expressionHandler(securityExpressionHandler());
        //.and() //and로 이어가거나 아니면 Request내용 이후 다른 내용을 추가할 때 새로 http로 시작해주거나
http
        .formLogin(); //로그아웃도 가능
http
        .httpBasic(); //httpBasic도 사용하겠다

SecurityContextHolder.setStrategyName(SecurityContextHolder.MODE_INHERITABLETHREADLOCAL);
// 어디까지 자원을 공유할 것인가? -> 기본은 쓰레드로컬
}

SecurityContext 영속화 필터: SecurityContextPersistenceFilter

SecurityContextRepository를 사용해서 기존의 SecurityContext를 읽어오거나 초기화 한다.

기본으로 사용하는 전략은 HTTP Session을 사용한다.
Spring-Session과 연동하여 세션 클러스터를 구현할 수 있다
ex) 이미 인증을 했으면 /home /board 등 다른 인증을 필요로하는 url에 접근할 때 다시 인증을 요청하지 않아도 되게 securityContext를 공유해주는것이 SecurityContextPersistenceFilter
당연히 session을 이용하는것이기 떄문에 session에 담아둔 정보를 사용하는데 session이 종료되면 정보도 끝

시큐리티 관련 헤더 추가하는 필터: HeaderWriterFilter

응답 헤더에 시큐리티 관련 헤더를 추가해주는 필터

XContentTypeOptionsHeaderWriter: 마임 타입 스니핑 방어.
XXssProtectionHeaderWriter: 브라우저에 내장된 XSS 필터 적용.
CacheControlHeadersWriter: 캐시 히스토리 취약점 방어.
HstsHeaderWriter: HTTPS로만 소통하도록 강제.
XFrameOptionsHeaderWriter: clickjacking 방

skarltjr commented 3 years ago

CSRF 어택 방지 필터: CsrfFilter // Cross-site request forgery

인증된 유저의 계정을 사용해 악의적인 변경 요청을 만들어 보내는 기법.
CORS를 사용할 때 특히 주의 해야 함. // 예를들어 공적인 api를 만들 때 타 도메인에서 보내오는 요청을 허용하기 때문에...

의도한 사용자만 리소스를 변경할 수 있도록 허용하는 필터 CSRF 토큰을 사용하여 방지.
그림에서 은행이 csrf토큰을 만들어주고 계좌이체 요청을 보낼 때 csrf토큰이 있는지 확인 -> 공격자 웹사이트에서는 csrf토큰이 당연히 같을 수 없다 ->csrf방지

thymeleaf 2.1이상부터는 form에 대해서 자동으로 csrf토큰을 설정해준다.

@SpringBootTest
@AutoConfigureMockMvc
class SignUpControllerTest {

    @Autowired
    MockMvc mockMvc;

    @Test
    @DisplayName("회원가입")
    void signUp() throws Exception {
        mockMvc.perform(get("/signup"))
                .andExpect(status().isOk())
                .andExpect(content().string(containsString("_csrf")));
    }

    @Test
    @DisplayName("회원가입처리")
    void processSignUp() throws Exception {
        mockMvc.perform(post("/signup")
                .param("username", "kiseok")
                .param("password", "123")
                .with(csrf()))
                .andDo(print())
                .andExpect(status().is3xxRedirection());
    }
}

로그아웃 처리 필터: LogoutFilter

여러 LogoutHandler를 사용하여 로그아웃시 필요한 처리를 하며 이후에는 LogoutSuccessHandler를 사용하여 로그아웃 후처리를 한다.
LogoutHandler // 로그아웃 처리 CsrfLogoutHandler SecurityContextLogoutHandler
LogoutSuccessHandler // 로그아웃 이후 어떻게 할지 SimplUrlLogoutSuccessHandler

로그아웃 필터 설정

http.logout()
        .logoutUrl("/logout")
        .logoutSuccessUrl("/")
   //     .logoutRequestMatcher()
    //    .invalidateHttpSession(true)
     //   .deleteCookies()
     //   .addLogoutHandler()
     //   .logoutSuccessHandler();

인증 처리 필터: UsernamePasswordAuthenticationFilter

폼 로그인을 처리하는 인증 필터

사용자가 폼에 입력한 username과 password로 Authentcation을 만들고 AuthenticationManager를 사용하여 인증을 시도한다.
AuthenticationManager (ProviderManager)는 여러 AuthenticationProvider를 사용하여 인증을 시도하는데, 그 중에 DaoAuthenticationProvider는 UserDetailsServivce를 사용하여 UserDetails 정보를 가져와 사용자가 입력한 password와 비교한다.

Basic 인증 처리 필터: BasicAuthenticationFilter

Basic 인증이란?

요청 헤더에 username와 password를 실어 보내면 브라우저 또는 서버가 그 값을 읽어서 인증하는 방식. 예) Authorization: Basic QWxhZGRpbjpPcGVuU2VzYW1l (keesun:123 을 BASE 64)
보통, 브라우저 기반 요청이 클라이언트의 요청을 처리할 때 자주 사용.
보안에 취약하기 때문에 반드시 HTTPS를 사용할 것을 권장.

요청 캐시 필터: RequestCacheAwareFilter

현재 요청과 관련 있는 캐시된 요청이 있는지 찾아서 적용하는 필터. 캐시된 요청이 없다면, 현재 요청 처리 캐시된 요청이 있다면, 해당 캐시된 요청 처리 ex) 로그인이 필요한 admin페이지를 갈 때 로그인이 안된상태라면 로그인창을 먼저띄워준다. 그 다음 캐시에 저장된 원래 목적지 (admin페이지)로 가도록

skarltjr commented 3 years ago

시큐리티 관련 서블릿 스팩 구현 필터: SecurityContextHolderAwareRequestFilter

시큐리티 관련 서블릿 API를 구현해주는 필터

익명 인증 필터: AnonymousAuthenticationFilter

현재 SecurityContext에 Authentication이 null이면 “익명(anonymous) Authentication”을 만들어 넣어주고, null이 아니면 아무일도 하지 않는다.

사실 인증되지않은 객채 = anonymous인데 Null Object Pattern( 코드에서 null체크대신 null을 대변할 객체를 만들어사용)에 따라

기본으로 만들어 사용할 “익명 Authentication” 객체를 설정할 수도 있다.
http.anonymous()    
    .principal()     
   .authorities()     
   .key()

세션 관리 필터: SessionManagementFilter

세션 변조 방지 전략 설정: sessionFixation 세션 변조 화면 캡처 2021-01-03 152320

// 즉 공격자가 웹 서버에서 쿠키로 받아온 sessionId를 희생자에게 보내면 희생자는 이걸갖고 웹서버에 접근
// 그럼 공격자 = 희생자로 웹서버가 취급  -> 공격자가 희생자의 정보등을 사용할 수 있게된다.
-> 그럼 인증을 마칠 때 마다 session을 변경하도록 해주면 방지가능

none newSession migrateSession (서블릿 3.0- 컨테이너 사용시 기본값) changeSessionId (서브릿 3.1+ 컨테이너 사용시 기본값)

유효하지 않은 세션을 리다이렉트 시킬 URL 설정 (로그아웃했을 때) invalidSessionUrl

동시성 제어: maximumSessions (한 아이디가 무한대로 로그인) 추가 로그인을 막을지 여부 설정 (기본값, false)

    http
            .sessionManagement()
            .maximumSessions(1) // 한 곳에서만 로그인가능 - 아이디 돌려쓰거나 못하도록
            .maxSessionsPreventsLogin(true); // 기본값은 false인데 만약 한곳에서만 로그인이 가능한데 
                                            // 2곳에서  로그인을 한 경우 true면 나중에 로그인하려는곳에서 막힘 false는 먼저 로그인한 곳 만료됨

세션 생성 전략: sessionCreationPolicy IF_REQUIRED (기본값) NEVER STATELESS // 진짜 session을 쓰지 않는다 ALWAYS

인증/인가 예외 처리 필터: ExceptionTranslationFilter

인증, 인가 에러 처리를 담당하는 필터

AuthenticationEntryPoint
AccessDeniedHandler

ExceptionTranslationFilter -> FilterSecurityInterceptor // 14번필터가 15번필터를 크게 감싼 형태
AuthenticationException -> AuthenticationEntrypoint  // 로그인한 유저만 접근가능한 곳에 그냥 접근했을 때
AccessDeniedException -> AccessDeniedHandler  // 인증은 했는데 AdminRole만 접근가능한곳에 UserRole로 접근한 경우

AccessDeniedHandler 커스터마이징

 http
                .exceptionHandling()
                .accessDeniedHandler(new AccessDeniedHandler() {
                    @Override
                    public void handle(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AccessDeniedException e) throws IOException, ServletException {
                        UserDetails principal = (UserDetails) SecurityContextHolder.getContext().getAuthentication().getPrincipal();
                        String username = principal.getUsername();
                        log.info(username + " is denied to access " + httpServletRequest.getRequestURI()); //서버단에 로그도 남겨주고
                        httpServletResponse.sendRedirect("/access-denied");
                    }
                });

++ controller 와 html도 추가해줘야한다

인가 처리 필터: FilterSecurityInterceptor

HTTP 리소스 시큐리티 처리를 담당하는 필터. AccessDecisionManager를 사용하여 인가를 처리한다.

  http
                .authorizeRequests()
                .mvcMatchers("/", "/info", "/account/**","/signup").permitAll()
                .mvcMatchers("/admin", "/dashBoard").hasRole("ADMIN")
                .mvcMatchers("/User").hasRole("USER")
                .anyRequest().authenticated() // 기타등등은 인증을 하면 접근할 수 있다
                .expressionHandler(securityExpressionHandler());

skarltjr commented 3 years ago

타임리프 스프링 시큐리티 확장팩

<dependency>
    <groupId>org.thymeleaf.extras</groupId>
    <artifactId>thymeleaf-extras-springsecurity5</artifactId>
</dependency>

Authentication과 Authorization참조
<div th:if="${#authorization.expr('isAuthenticated()')}">
    <h2 th:text="${#authentication.name}"></h2>
    <a href="/logout" th:href="@{/logout}">Logout</a>
</div>
<div th:unless="${#authorization.expr('isAuthenticated()')}">
    <a href="/login" th:href="@{/login}">Login</a>
</div>

@AuthenticationPrincipal

public class UserAccount extends User {

    private Account account;

    public UserAccount(Account account) {
        super(account.getUsername(), account.getPassword(), List.of(new SimpleGrantedAuthority("ROLE_" + account.getRole())));
        this.account = account;
    }

    public Account getAccount() {
        return account;
    }
}

메타어노테이션으로 + expression을 통해 익명 Authentication인 경우 (“anonymousUser”)에는 null 아닌 경우에는 account 필드를 사용한다.
@Retention(RetentionPolicy.RUNTIME)
@Target(ElementType.PARAMETER)
@AuthenticationPrincipal(expression = "#this == 'anonymousUser' ? null : account")
public @interface CurrentUser {
}

skarltjr commented 3 years ago

스프링 시큐리티 http vs web config https://stackoverflow.com/questions/56388865/spring-security-configuration-httpsecurity-vs-websecurity

@Override
public void configure(WebSecurity web) throws Exception {
    web
        .ignoring()
        .antMatchers("/login", "/register", "/api/public/**");
}

@Override
public void configure(HttpSecurity http) throws Exception {

    http
        .csrf().disable()
        .authorizeRequests()
        .antMatchers("/login", "/register", "/api/public/**").permitAll()
        .anyRequest().authenticated();
}

configure(WebSecurity web) Endpoint used in this method ignores the spring security filters, security features (secure headers, csrf protection etc) are also ignored and no security context will be set and can not protect endpoints for Cross-Site Scripting, XSS attacks, content-sniffing.
configure(HttpSecurity http) Endpoint used in this method ignores the authentication for endpoints used in antMatchers and other security features will be in effect such as secure headers, CSRF protection, etc.
websecurity에서 ignoring은 말 그대로 모든 필터들을 무시 : 즉 시큐리티 필터체인을 아예 거치지않고 무시
httpsecurity는 인가에 대해 무시 but 나머지 특성(secure headers, CSRF protection 등)들은 유지

@Override
public void configure(WebSecurity web) throws Exception {
    web
        .ignoring()
        .antMatchers("/resources/**")
        .antMatchers("/publics/**"); // 그렇기 때문에 만약 여기서 publics에 대해 ignoring을 한다면 필터체인을 아예 거치지않기때문에
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
        .antMatchers("/admin/**").hasRole("ADMIN")
        .antMatchers("/publics/**").hasRole("USER") // no effect - 당연히 여기서 설정할 필요조차 없으며 효과가 없다.
        .anyRequest().authenticated();
}

skarltjr commented 3 years ago

package buravel.buravel.infra;

import buravel.buravel.infra.jwt.JwtAuthenticationFilter;
import buravel.buravel.infra.jwt.JwtAuthorizationFilter;
import buravel.buravel.modules.account.AccountRepository;
import lombok.RequiredArgsConstructor;
import org.springframework.boot.autoconfigure.security.servlet.PathRequest;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.HttpMethod;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.access.AccessDeniedHandler;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.CorsConfigurationSource;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;

@Configuration
@EnableWebSecurity
@RequiredArgsConstructor
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    private final AccountRepository accountRepository;
    private final CorsConfig corsConfig;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .cors().configurationSource(corsConfigurationSource())
                .and()
                .csrf().disable()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
        http
                .formLogin().disable()
                .httpBasic().disable();
        http
                .addFilter(new JwtAuthenticationFilter(authenticationManager()))
                .addFilter(new JwtAuthorizationFilter(authenticationManager(), accountRepository))

                .authorizeRequests()
                .mvcMatchers("/signUp", "/login", "/", "/tempPassword", "/findUsername","/index/search").permitAll()
                .mvcMatchers(HttpMethod.GET, "/plans","/plans/{id}").permitAll()
                .antMatchers(HttpMethod.OPTIONS,"/**").permitAll()

                .anyRequest().authenticated();

    }

    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration config = new CorsConfiguration();
        config.addExposedHeader("Authorization");
        config.setAllowCredentials(true);
        config.addAllowedOrigin("*");
        config.addAllowedHeader("*");
        config.addAllowedMethod("*");

        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", config);
        return source;
    }

    @Override
    public void configure(WebSecurity web) throws Exception
    {
        web.ignoring()
                .mvcMatchers("/favicon.ico","/resources/**","/error")
                .requestMatchers(PathRequest.toStaticResources().atCommonLocations());
    }
}

cors에서 문제가 되는 경우 기록 : jwt토큰을 헤더에 담아줬는데 리액트를 사용하는 프론트부분에서 개발자도구로는 토큰을 확인할 수 있었지만 콘솔에서는 뜨지 않았다. 그래서 preflight를 위해 .antMatchers(HttpMethod.OPTIONS,"/**").permitAll()을 설정했고 config.addExposedHeader("Authorization");를 통해 authorization 헤더를 노출할 수 있도록 설정해서 해결했다.

skarltjr commented 2 years ago


아마 custom url로 login 혹은 logout을 사용한다면
Request method 'GET' not supported을 만날 수 있을 것
그럴 땐 url변경 나는 logOut으로 사용한 경험이 있다
``

skarltjr / Memory_Write_Record

Spring Security #6

스프링 시큐리티에서 인증(Authentication)은 AuthenticationManager가 한다

즉 SecurityContextHolder는 Authentication정보를 담고있는 곳이고 인증을 처리하는것이 AuthenticationManager

ThreadLocal

서블릿기반에서는 하나의 요청 당 하나의 서블릿 -> 하나의 쓰레드를 사용

스프링 시큐리티가 제공하는 필터들 = 모든 필터는 servlet filter

SecurityContextPersistenceFilter

UsernamePasswordAuthenticationFilter

FilterChainProxy 보통 “springSecurityFilterChain” 이라는 이름의 빈으로 등록된다.

인증 절차에 관한 정리

AccessDecisionManager - 이미 인증을 거친 사용자가 특정한 리소스, 매서드에 접근할 때 이를 허용할 지를 판단 = 인가

Async 웹 MVC를 지원하는 필터: WebAsyncManagerIntegrationFilter

SecurityContext 영속화 필터: SecurityContextPersistenceFilter

시큐리티 관련 헤더 추가하는 필터: HeaderWriterFilter

CSRF 어택 방지 필터: CsrfFilter // Cross-site request forgery

로그아웃 처리 필터: LogoutFilter

인증 처리 필터: UsernamePasswordAuthenticationFilter

Basic 인증 처리 필터: BasicAuthenticationFilter

요청 캐시 필터: RequestCacheAwareFilter

시큐리티 관련 서블릿 스팩 구현 필터: SecurityContextHolderAwareRequestFilter

익명 인증 필터: AnonymousAuthenticationFilter

세션 관리 필터: SessionManagementFilter

인증/인가 예외 처리 필터: ExceptionTranslationFilter

AccessDeniedHandler 커스터마이징

인가 처리 필터: FilterSecurityInterceptor

타임리프 스프링 시큐리티 확장팩

@AuthenticationPrincipal