🔄 순환 참조(Circular Reference) 문제와 해결 방법

JWT을 이용해서 로그인, 회원가입을 다시 공부하면서 순환참조 몇번 일어났다
이번 포스팅 경우, 순환참조에 대해 글을 작성해 볼까 한다

---

🔍 순환 참조란?

• 순환 참조는 두 개 이상의 빈(Bean)이 서로를 참조할 때 발생하는 문제
• 예를 들어, A가 B를 필요로 하고, B가 다시 A를 필요로 하는 상황에서 발생함-> 즉, 서로 필요한 상황 약간 쉽게 현실상황에서 접근해보면, ..흠
  
  
  

• 좋은 직업을 얻으려면 경력이 필요하다

• 하지만 경력을 쌓기 위해서는 직업이 필요하다
  와 같은 예시를 생각하면 좀더 이해하기 쉬울 것이다

• 이런 상황에서는 Spring이 빈을 생성할 수 없으며, UnsatisfiedDependencyException 예외가 발생함

---

💡 순환 참조 발생 (JwtTokenFilter와 SecurityConfig)

필자 경우 토큰을 검증하는 JwtTokeFilter와 SecurityConfig 순환참조가 발생했었다

JwtTokenFilter.java

@Component
@RequiredArgsConstructor
public class JwtTokenFilter extends OncePerRequestFilter {

    private final JwtUtil jwtUtil;
    private final UserRepository userRepository;
    private final CsrfTokenRepository csrfTokenRepository;

    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                    HttpServletResponse response,
                                    FilterChain filterChain) throws ServletException, IOException {
        String authHeader = request.getHeader("Authorization");

        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);

            try {
                Long userId = jwtUtil.getUserIdFromToken(token).get("userId", Long.class);
                User user = userRepository.findById(userId).orElse(null);

                CsrfToken csrfToken = csrfTokenRepository.loadToken(request);
                String csrfHeader = request.getHeader("X-CSRF-TOKEN");

                if (csrfToken == null || csrfHeader == null || !csrfToken.getToken().equals(csrfHeader)) {
                    response.sendError(HttpServletResponse.SC_FORBIDDEN, "CSRF token invalid or missing");
                    return;
                }

                if (user != null) {
                    UsernamePasswordAuthenticationToken authentication =
                            new UsernamePasswordAuthenticationToken(user, null, null);
                    SecurityContextHolder.getContext().setAuthentication(authentication);
                } else {
                    response.sendError(HttpServletResponse.SC_FORBIDDEN, "Invalid token: User not found");
                    return;
                }

            } catch (Exception e) {
                response.sendError(HttpServletResponse.SC_FORBIDDEN, "Invalid token");
                return;
            }
        }

        filterChain.doFilter(request, response);
    }
}

• JwtTokenFilter는 CsrfTokenRepository를 주입받아 요청에서 CSRF 토큰을 검증

---

SecurityConfig.java

@Configuration
@EnableWebSecurity
@RequiredArgsConstructor
public class SecurityConfig {

    private final JwtTokenFilter jwtTokenFilter; 

    @Bean
    public RoleHierarchy roleHierarchy() {
        RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl();
        roleHierarchy.setHierarchy("ROLE_ADMIN > ROLE_OWNER \n ROLE_OWNER > ROLE_USER");
        return roleHierarchy;
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .csrf(csrf -> csrf
                        .csrfTokenRepository(csrfTokenRepository())  // CSRF 토큰 쿠키 저장
                )
                .formLogin(formLogin -> formLogin.disable())
                .httpBasic(httpBasic -> httpBasic.disable())
                .cors(cors -> cors.configurationSource(corsConfigurationSource()))
                .headers(headers -> headers
                        .frameOptions(frameOptions -> frameOptions.disable())
                )
                .authorizeHttpRequests(auth -> auth
                        .requestMatchers("/api/auth/*", "/api/auth/refresh", "/h2-console/**").permitAll()
                        .anyRequest().authenticated()
                )
                .addFilterBefore(jwtTokenFilter, UsernamePasswordAuthenticationFilter.class);  // JWT 필터 추가

        return http.build();
    }

    @Bean
    public AuthenticationManager authenticationManager(AuthenticationConfiguration configuration) throws Exception {
        return configuration.getAuthenticationManager();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.addAllowedOriginPattern("*");
        configuration.addAllowedMethod("*");
        configuration.addAllowedHeader("*");
        configuration.setAllowCredentials(true);

        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }

    @Bean
    public CsrfTokenRepository csrfTokenRepository() {
        CookieCsrfTokenRepository repository = new CookieCsrfTokenRepository();
        repository.setCookieHttpOnly(false);  // 쿠키 접근 가능
        repository.setHeaderName("X-CSRF-TOKEN");
        repository.setCookieName("XSRF-TOKEN");
        return repository;
    }
}

• SecurityConfig는 JwtTokenFilter를 주입받아 필터 체인에 등록함
  동시에 CsrfTokenRepository를 빈으로 등록하여 CSRF 토큰을 관리함

---

┌─────┐
| jwtTokenFilter (field private org.springframework.security.web.csrf.CsrfTokenRepository com.example.login.JWT.JwtTokenFilter.csrfTokenRepository)
↑ ↓
| securityConfig defined in file
└─────┘

순환 참조 발생 흐름

private final CsrfTokenRepository csrfTokenRepository;

JwtTokenFilter에서 CsrfTokenRepository를 주입받음
문제는 CsrfTokenRepository가 SecurityConfig에서 빈으로 등록된다는 점

SecurityConfig는 CsrfTokenRepository를 빈으로 등록

🔄 순환 참조 문제 발생 흐름

1. SecurityConfig에서 JwtTokenFilter를 필터 체인에 등록하려고 함
2. JwtTokenFilter는 CsrfTokenRepository를 주입받아 사용해야 함
   하지만 CsrfTokenRepository는 SecurityConfig에서 빈으로 등록되어 있음.
3. 따라서, SecurityConfig가 JwtTokenFilter를 주입하는 과정에서 JwtTokenFilter가 다시 CsrfTokenRepository를 필요로 하게 되어 순환 참조가 발생!

즉, SecurityConfig에서 JwtTokenFilter를 필터로 등록할려고 할때 JwtTokenFilter는 CsrfTokenRepository를 주입받아야만 생성이 가능함
반면에, CsrfTokenRepository는 SecurityConfig에서 빈으로 등록 되어있다
그래서 시큐리티가 토큰필터 만들고싶은데 토큰필터는 시큐리티에 빈으로 등록된 CsrfTokenRepository 이게 필요해서
SecurityConfig → JwtTokenFilter → CsrfTokenRepository
서로가 서로를 필요한 상황임!

---

🚀 순환 참조 해결 방법

1. CsrfTokenRepository를 직접 주입하지 않고, 요청(Request)에서 가져오기

• JwtTokenFilter에서 CsrfTokenRepository 대신 요청 객체(HttpServletRequest)에서 CSRF 토큰을 가져옴.

JwtTokenFilter 수정:

@Component
@RequiredArgsConstructor
public class JwtTokenFilter extends OncePerRequestFilter {
    private final JwtUtil jwtUtil;
    private final UserRepository userRepository;

    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                    HttpServletResponse response,
                                    FilterChain filterChain) throws ServletException, IOException {
        String authHeader = request.getHeader("Authorization");

        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            try {
                Long userId = jwtUtil.getUserIdFromToken(token).get("userId", Long.class);
                User user = userRepository.findById(userId).orElse(null);

                // 요청에서 직접 CSRF 토큰 가져오기
                CsrfToken csrfToken = (CsrfToken) request.getAttribute(CsrfToken.class.getName());
                String csrfHeader = request.getHeader("X-CSRF-TOKEN");

                if (csrfToken == null || csrfHeader == null || !csrfToken.getToken().equals(csrfHeader)) {
                    response.sendError(HttpServletResponse.SC_FORBIDDEN, "CSRF token invalid or missing");
                    return;
                }

                UsernamePasswordAuthenticationToken authentication =
                        new UsernamePasswordAuthenticationToken(user, null, null);
                SecurityContextHolder.getContext().setAuthentication(authentication);
            } catch (Exception e) {
                response.sendError(HttpServletResponse.SC_FORBIDDEN, "Invalid token");
                return;
            }
        }
        filterChain.doFilter(request, response);
    }
}

[ 흐름 ]
우선 , CsrfTokenRepository는 CSRF 토큰을 생성, 저장, 로드하는 인터페이스
CSRF 토큰은 HttpServletRequest의 속성(attribute)에 저장
이후 요청이 들어올 때 JwtTokenFilter는 httpServletRequest에서 CSRF 토큰을 꺼내 검증

순환참조가 발생했을 때 코드 경우,
필터에서 직접CsrfTokenRepository 이용해서 필터에서 주입받아 요청이 들어올 때마다 csrfTokenRepository.loadToken(request)로 CSRF 토큰을 가져와 검증했었다

CsrfToken csrfToken = csrfTokenRepository.loadToken(request);

하지만 순환참조가 발생하였고..

[ 해결방법 ]

CsrfToken csrfToken = (CsrfToken) request.getAttribute(CsrfToken.class.getName());

Spring Security는 CsrfFilter에서 CSRF 토큰을 생성하고
HttpServletRequest의 속성에 저장함
필터에서 직접 CsrfTokenRepository를 호출하지 않고,
=>SecurityConfig와 JwtTokenFilter 간의 의존성이 사라지면서 순환 참조가 해결됨

---

Q.그럼 HttpServletRequest사용할때는 순환참조가 일어나지 않을까?

😺 : 필자 경우 공부를 하면서 CsrfTokenRepository를 사용할경우 순환참조 발생한다까지는 알겠는데 그럼 왜 발생했을까라는 의문이 들었다
CsrfTokenRepository경우는 CSRF토큰을 생성하고 저장한다고 했는데 그걸 HttpServletRequest에 저장한다까지는 알겠다..! 근데 왜지 왤까? 라는 생각이들어 흐름을 다시 이해할려고 했다


즉, 일단 상황을 다시 설명해보면
과거 방식

• 필터가 직접 CsrfTokenRepository를 호출해 토큰을 불러옴
• 매번 새로 생성하거나 쿠키에서 조회
• 요청이 들어올 때마다 CsrfTokenRepository가 토큰을 생성하고 검증
  새 방식
• 요청(HttpServletRequest)에서 토큰을 바로 꺼냄
• CsrfFilter가 미리 만들어서 넣어둔 것을 꺼내기만 함
• 한 번 생성된 토큰을 요청 객체(HttpServletRequest)에 보관
  
  
  필자는 여기서 혼동이 왔던것 같다 어째든 둘다 토큰을 불러와서 검증하는 건데 왜 순환참조가 발생하는건지, 왜 CsrfTokenRepository에서만 순환참조가 발생했는지 의문이 계속 들었다
  결론은 다음과 같다

HttpServletRequest 경우 CSRF 토큰은 최초 요청에서 한 번만 생성
이게 핵심 포인트인것 같다

• 이후 모든 요청에서 이미 만들어진 CSRF 토큰을 HttpServletRequest에서 직접 조회하여 검증

그러면, 이 방식도 결국 토큰을 생성해서 검증해야하는 거면 서로가 필요해서 순환참조 일어날 수 있지않을까? 라는 생각이 들수 있다

🧩최초 CSRF 토큰은 어떻게 만들어지나?

• CSRF 토큰은 CsrfFilter가 최초 요청에서 자동으로 생성하고 HttpServletRequest에 저장
• JwtTokenFilter는 이후 요청에서 요청 객체(HttpServletRequest)에서 CSRF 토큰을 바로 꺼내 사용 하는 프로세임

초기에 생성은 순환참조가 발생하지 않음!
-> CsrfFilter는 SecurityConfig와 독립적으로 동작
-> 애플리케이션 초기화 시(구동) Spring Security가 자동으로 동작해 CSRF 토큰을 생성
결국, 실행실킬때 CSRF토큰이 발급되어, 이후 요청에서는 JwtTokenFilter가 HttpServletRequest에서 조회만 하면 되어서 순환참조를 방지할 수 있다!

정리

1. 애플리케이션 초기화 – CSRF 토큰 생성 (순환 참조 없음)

1. Spring Security는 애플리케이션이 구동될 때 CsrfFilter를 자동으로 등록 및 실행
2. 초기화 시 CsrfTokenRepository를 사용해 CSRF 토큰을 생성하고, 이 토큰을 쿠키 및 HttpServletRequest의 속성(attribute)에 저장
3. 이 과정에서는 JwtTokenFilter가 전혀 관여하지 않으므로 순환 참조가 발생하지 않음

2. 요청이 들어올 때

1. 사용자가 API 요청을 보낼 때
2. JwtTokenFilter는 HttpServletRequest에서 CSRF 토큰을 바로 조회하여 검증
3. JwtTokenFilter는 CsrfTokenRepository를 직접 호출하지 않고,
   HttpServletRequest에 저장된 토큰을 꺼내기만 하면 됨!