[Spring] 스프링 시큐리티 및 OAuth2 통합

Jiwoo Jung·2025년 1월 8일

Spring

GDGoC Spring 스터디

목록 보기

14/15

GDG on Campus Backend-Spring 스터디 WIL
Week 08 - 스프링 시큐리티 및 OAuth2 통합

Spring Security 기초

velog.io/@jiu-jung

Access Control

RBAC(Role Based Access Control, 역할 기반 접근 제어)

정보에 대한 접근 권한을 역할에 따라 결정.

장점

보안 강화 & 데이터 보호
그룹화 통해 권한 관리 간소화
다수의 사람에 대해 유연하고 직관적이며 효율적인 통제 가능

기본 규칙

Role Assignment (역할 할당)
Role Authorization (역할 기반 권한 부여)
Permission Authorization (권한 승인)

구현 예시

geeksforgeeks.org

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .requestMatchers("/admin/**").hasRole("ADMIN")
                .requestMatchers("/user/**").hasRole( "USER")
                .anyRequest().authenticated()
                .and()
                .formLogin()
               // Specify the URL for the registration page

                .and()
                .logout().logoutSuccessUrl("/").permitAll();

        return http.build();
    }
    
}

@Configuration
public class UserDetailsConfig {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public UserDetailsManager userDetailsManager() {
        InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
        manager.createUser(
                User.withUsername("admin")
                        .password(passwordEncoder().encode("admin"))
                        .roles("ADMIN")
                        .build()
        );
        manager.createUser(
                User.withUsername("user")
                        .password(passwordEncoder().encode("user"))
                        .roles("USER")
                        .build()
        );
        return manager;
    }
}

메소드 수준 보안 (Method-Level Security)

RBAC를 서비스 계층으로 확장한 방식.

@Configuration 클래스에서 @EnableMethodSecurity 활성화 필요

@Configuration
@EnableMethodSecurity
public class SecurityConfig { 
    // Other security configurations here 
}

@PreAuthorize : 메소드 실행 전 권한 체크

@PreAuthorize("hasRole('ROLE_ADMIN') or (hasRole('ROLE_USER') and #userId == principal.userId)") 
public void updateUser(int userId) { 
// Method logic here 
}

@PostAuthorize : 메소드 실행 후 반환값에 따라 접근 제어

@Secured : 특정 역할 기반으로 접근 제어

@Secured("ROLE_ADMIN") 
public void deleteUser(int userId) { 
// Method logic here 
}

ACL(Access Control List, 액세스 제어 목록)

개별 리소스에 대한 접근을 세분화하여 정의 및 관리

장점

리소스 단위 권환 관리 -> 리소스(도메인 객체)에 사용자/그룹별 권한 부여
hasPermission()을 통해 접근성 관리 DB화
Spring security는 spring-security-acl 라이브러리 제공)

단점

도메인 객체가 갖는 접근성에 대한 정보 활용 X -> ACL 테이블 별도로 관리
사용자/도메인 객체가 많아지면 접근 권한에 대한 경우의 수가 기하급수적으로 증가
기술 난이도가 높아 유지보수 어려움

기본 구조

Sid(Security Identity) - 사용자/그룹
Permission - 객체에 대한 권한
Domain Object - 보호할 객체

ACL 도메인 모델

ACL_CLASS : 도메인 객체의 종류
ACL_SID : 권한의 주체가 되는 사용자 정보 & Role 정보
ACL_OBJECT_IDENTITY : 보안의 대상이 되는 정보 객체
ACL_ENTRY : 접근 권한 정보

OAuth 2.0 (Open Authorization)

docs.spring.io

인터넷 사용자가 애플리케이션에 직접 비밀번호를 제공하지 않고, 권한을 위임하여 리소스에 접근하도록 하는 프로토콜

개방형 표준 프로토콜로, third-party 프로그램에게 리소스 소유자를 대신해 리소스 서버에서 제공하는 자원에 대한 접근 권한을 위임하는 방식으로 작동
third-party 프로그램(구글, 카카오 등)에게 로그인 및 개인정보 관리에 대한 권한을 위임하여 third-party 프로그램이 가지고 있는 사용자에 대한 리소스 조회 가능

주요 구성 요소

Resource Owner(리소스 소유자) : 보호된 자원에 접근할 수 있는 자격을 부여해주는 객체. OAuth 2.0 프로토콜 흐름에서 클라이언트 인증하는 역할 수행
Client(애플리케이션) : 보호된 자원을 사용하기 위해 접근을 요청하는 애플리케이션
Authentication Server : 사용자의 보호된 자원을 호스팅하는 서버
Resource Server : Authentication Server로 인증/인가 수행. Client의 접근 자격을 확인하고 Access Token을 발급하여 권한을 부여한다.