[스프링시큐리티] 인증 프로세스

Anonymous()

"익명으로 인증된" 사용자 = 인증되지 않은 사용자
스프링 시큐리티에서는 인증받지 않은 사용자를 익명으로 인증됐다고 표현하며
SecurityContextHolder가 항상 Authentication 객체를 포함하여 null을 포함하지 않는다는 것을 규칙으로 세우게 되면 클래스를 더 견고하게 작성할 수 있다.

인증된 사용자든 인증받지 않는 사용자든 클래스 즉, 객체로 구분한다는 것

• 인증된 사용자
  • 인증 -> securityContextHolder 저장 -> session 저장
• 인증받지 않는 사용자
  • 인증 X -> securityContextHolder 저장 -> session X
    세션에 저장할 필요 없음

: 보통 기본 설정을 바꾸지 않아도 되지만, 몇가지 기능을 살펴보면

• principal("guest") : 익명사용자 이름 변경하여 사용
• authorities("ROLE_GUEST") : 익명사용자 권한 이름 변경하여 사용

📌 처음 client -> server로 전송될 때, SecurityContextHolder의 Authentication 객체는 null 상태이다 (최초 기본).
null인 상태에서 AnonymousAuthenticationFilter를 만났을 때 해당 익명 사용자 토큰을 생성하고 null로 두지않고 익명사용자 토큰을 저장한다.

해당 filter에서 token을 만들어서 securityContextHolder에 저장하고 anonymousUser 객체를 principal에 저장한다
이처럼 객체화하여 편리하게 사용하기 위함

스프링 MVC에서 익명 인증 사용하는 방법

: 메서드에서 Authentication 객체를 매게변수로 받을 경우, 인증되지 않은 객체가 들어올 경우 AnonymousAuthenticationToken으로 들어오는 것이 아니라 null로 들어오게된다.
익명 객체도 securityContext에 저장되기 때문에 getName()을 통해서 사용한다.

---

logout()

logout은 기본적으로 POST 방식으로 가능하나 두가지 경우에는 다른 방법으로 가능.
로그인 기능을 커스텀하게 생성할 경우 로그아웃 기능도 커스텀 하게 구현해야한다.

• CSRF 기능 비활성화
  • 사용자 요청을 악용하기 위한 것을 막기 위함.
• RequestMatcher 사용하는 경우

FilterChainProxy 를 꺼내놓고 필터를 확인하면서 하면 좋지만 보통 proxy 클래스를 보면서 해당되는 필터들을 확인한다