[TIL] 230711 Spring Security

너무너무 어렵다.

📌 Spring Security 내부 동작

Spring 에서 모든 호출은 DispatcherServlet 을 통과하게 되고 이후 각 요청을 담당하는 Controller 에서 분배한다.
이 때 각 요청에 대해 공통적으로 처리해야할 필요가 있을 때 DispatcherServlet 이전 단계가 필요
➡️ 그것이 바로 !!

Filter

Spring security 도 인증 & 인가를 처리할 때 Filter를 사용한다.
➡️ FilterChainProxy 를 통해서 상세로직을 구현한다.

📌 Spring Security 가 제공한 Default 로그인 Form

UsernamePasswordAuthenticationFilter

• username : user
• password : 자동 생성된 password
  를 확인해서 인증처리하는 Filter

1. username, password를 제출하면 인증된 사용자의 정보가 담긴 AuthenticationToken을 만든다.
2. AuthenticationToken을 AuthenticationManager 한테 넘겨서 인증을 시도한다 !!
3. Failure: SecurityContextHolder를 비운다.
4. Success: SecurityContextHolder에 Authentication(AuthenticationToken)을 세팅한다.

📌 SecurityContextHolder

: 인증이 완료된 사용자의 상세 정보를 저장한다.

SecurityContext는 SecurityContextHolder로 접근 !

SecurityContext context = SecurityContextHolder.createEmptyContext();
Authentication authentication = 
	new UsernamePasswordAuthenticationToken(principal, credential, authorities);
context.setAuthentication(authentication);
SecurityContextHolder.setContext(context);

Authentication

• principal: 사용자 식별 (일반적으로 UserDetails 인스턴스)
• credentials: 주로 비밀번호를 넣는다 (대부분 인증 후 비운다)
• authorities: 사용자에게 부여한 권한을 GrantedAuthority로 추상화하여 사용한다.