[Web_3] STUSSY CLONE PROJECT 2 🐰

📌 Spring Boot Security
👾 Register 회원가입
📌 Spring Boot Validation (@Valid / @Validated / BindingResult )

💡 Spring Boot Security

스프링 어플리케이션의 인증 및 액세스 제어를 위한 프레임워크이다.

▫️ dependency 등록   ( 버전 명시 해주지 않아도 됨 )

<dependency>
	<groupId>org.springframework.boot</groupId>
	<artifactId>spring-boot-starter-security</artifactId>
</dependency>

클라이언트 요청(request) 시
➡️ Filter 들을 차례대로 거쳐 (→ Filter Chain) Dispacher Servlet 로 가게 된다.
( 거기서 요청 url 에 맞는 메소드가 있는 Controller 로 가게 됨 )

Spring Security는 DelegatingFilterProxy 라는 필터를 생성하여 기존 Filter Chain 사이에서 SecurityFilterChain 을 동작시킨다.

* 참고 : Security Filter Chain

▫️ SecurityConfig.java

@EnableWebSecurity
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean 	// ➡️ 스프링 IoC 등록
    // Security 가 가지고 있는 BCryptPasswordEncoder 클래스를 가져다 쓰기 위해서는 
    // 기존 존재 객체 (;Configuration 객체)에서 생성하고 @Bean 을 달아, 
    // IoC 등록하여 사용함 ❗ 
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable();
        http.httpBasic().disable();
        http.authorizeRequests() // 모든 요청에 실행
        
                // ⭐ Page
                // 경로에 따른 접근 권한 설정; 권한을 가진 사람만 접속 가능
                .antMatchers("/admin/**")
                .access("hasRole('ADMIN') or hasRole('MANAGER')") 
                .antMatchers("/account")
                .access("hasRole('USER') or hasRole('ADMIN') or hasRole('MANAGER')")

                .antMatchers("/", "/index", "/collections/**")
                .permitAll() // 모든 접근 권한을 허용해라.
                .antMatchers("/account/login", "/account/register")
                .permitAll()
                
                // ⭐ Resource
                .antMatchers("/static/**", "/image/**")
                .permitAll() 

                // ⭐ API
                .antMatchers("/api/account/register")
                .permitAll()

                .anyRequest() // 다른 모든 요청들은
                .permitAll()
				// .denyAll() // 모든 접근을 차단해라. 

                .and()
                .formLogin() 					// 폼로그인 방식으로 인증할 것. 
                .usernameParameter("email")
                .loginPage("/account/login") 	// 로그인 페이지를 띄우는 GET 요청
                // ※ 스프링 Security 는 기본 로그인 창을 제공하고 있음. 
                .loginProcessingUrl("/account/login")   	// 로그인 POST 요청
                .failureHandler(new AuthFailureHandler())	// 로그인 실패 시 처리
                .defaultSuccessUrl("/index");
    }
}

WebSecurityConfigurerAdapter 를 상속하는 클래스를

@Configuration 로 스프링 IoC에 등록 하고
@EnableWebSecurity 로 기존의 WebSecurityConfigurerAdapter 클래스를 해당 클래스로 대체하여 보안을 활성화 한다. ( ➡️ SpringSecurityFilterChain 에 등록되어 스프링에서 생성해 사용하게 됨 )

👾 Register 회원가입

클라이언트에서 JSON 형식으로 회원가입 정보(name, eamil, password)를 보내게 되면,

클라이언트 요청 시 Validation 체크를 하고, RegisterReqDto 로 받아서 → USER 로 처리한 후 → 서버 응답 시에 CMRespDto 로 응답해주게 된다.

🐾 Controller

▫️ AccountPageController.java

@RequestMapping("/account")
@Controller
public class AccountPageController {

    @GetMapping("/login")
    public String login(Model model, @RequestParam @Nullable String error) { // ⭐ url 상에서 (ajax) error 값을 받아오게 됨. 
        if (error != null) {
            model.addAttribute("error", error.equals("auth") ? "이메일 또는 비밀번호가 잘못되었습니다." : "");
            // auth error면 에러 메시지, 아니면 공백 값을 준다
        }
        return "account/login";
    }

    @GetMapping("/register")
    public String register() {
        return "account/register";
    }
}

🐾 Domain

▫️ User.java

@Builder
@NoArgsConstructor
@AllArgsConstructor
@Data
public class User {
    private int id;
    private String username;
    private String oauth_username;
    private String password;
    private String name;
    private String email;
    private String provider;
    private int role_id;
    private Role role;
    private LocalDateTime create_date;
    private LocalDateTime update_date;
}

▫️ Role.java

@NoArgsConstructor
@AllArgsConstructor
@Data
public class Role {
    private int id;
    private String role;
    private String role_name;
}

💡 Spring Boot Validation (@Valid / @Validated / BingdingResult)

🦎 유효성 검사

클라이언트 요청이 들어왔을 때, 서버에서 DTO에 Ajax로 받아온 데이터를 연결해줄 때 (-> 바인딩) , 데이터 값이 유효한 지 검사해야 한다.

Ajax -> < . . . Validation . . . > -> DTO -> Controller

🦎 Spring Boot Validation 을 이용한 유효성 검사

▫️ dependency 추가

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-validation</artifactId>
</dependency>

▫️ AccountApi.java

@Slf4j
@RequiredArgsConstructor
@RequestMapping("/api/account")
@RestController
public class AccountApi {
    
    private final AccountService accountService; // DI

    @ValidAspect // 유효성 검사 · 로그 남기는 기능을 어노테이션(@)으로 처리
    @LogAspect	 
    @PostMapping("/register")
    public ResponseEntity<?> register(@Validated(ValidationSequence.class) @RequestBody RegisterReqDto registerReqDto, BindingResult bindingResult) throws Exception { 
    // ➡️ 이 DTO 를 가져올 때 Valid 체크를 하겠다. ..

 		accountService.checkDuplicatedEmail(registerReqDto.getEmail());
        accountService.register(registerReqDto);

        return ResponseEntity.ok().body(new CMRespDto<>(1, "Successfully registered", registerReqDto));
    }
}

✅ @RequestBody
클라이언트에서 JSON 데이터를 보낼 때 body에 데이터를 담아 전송하기 때문에 JSON 데이터를 받아오기 위해서는 @RequestBody 가 항상 필요함.

✅ 유효성 검사를 진행할 클래스 혹은 메소드의 파라미터(Request 객체) 앞에
@Valid / @Validated 어노테이션을 주면 Request 객체를 가져올 때 유효성 이 검사된다.

🦎 BindingResult

유효성 검사 실패 시 (유효하지 않은 값이 있을 때) 오류에 대한 정보를 보관하는 객체이다.

데이터에 유효하지 않은 속성이 있다면, 그에 대한 오류 정보가 담긴다. 해당 정보를 컨트롤러에 전달해 오류 페이지를 별도로 처리해 줄 수 있다.

▫️ RegisterReqDto.java (➡️ 파라미터로 받아오는 DTO 클래스에서 객체의 제약 조건을 걸어준다)

@Data
public class RegisterReqDto {
    @NotBlank(message = "이름은 비워 둘 수 없습니다", groups = ValidationGroups.NotBlankGroup.class)
    @Size(min = 1, max = 3, message = "이름은 한글자에서 세글자 사이여야 합니다", groups = ValidationGroups.SizeCheckGroup.class)
    @Pattern(regexp = "^[가-힇]*$",
            message = "이름은 한글만 입력가능합니다",
            groups = ValidationGroups.PatternCheckGroup.class
    )
    private String lastName;
    
    @NotBlank(message = "성은 비워 둘 수 없습니다", groups = ValidationGroups.NotBlankGroup.class)
    @Size(min = 1, max = 2, message = "성은 한글자에서 두글자 사이여야 합니다", groups = ValidationGroups.SizeCheckGroup.class)
    @Pattern(regexp = "^[가-힇]*$",
            message = "성은 한글만 입력가능합니다",
            groups = ValidationGroups.PatternCheckGroup.class
    )
    private String firstName;

    @Email
    @NotBlank(message = "이메일은 비워 둘 수 없습니다", groups = ValidationGroups.NotBlankGroup.class)
    private String email;

    @NotBlank(message = "비밀번호는 비워 둘 수 없습니다", groups = ValidationGroups.NotBlankGroup.class)
    @Size(min = 8, max = 16, message = "비밀번호는 8자에서 16자 사이여야합니다.", groups = ValidationGroups.SizeCheckGroup.class)
    @Pattern(regexp = "^(?=.*[a-zA-Z])(?=.*\\d)(?=.*[~!@#$%^&*_])[a-zA-Z\\d-~!@#$%^&*_]*$",
            message = "비밀번호는 숫자, 영문, 특수기호를 하나 이상 포함하여 작성해야합니다",
            groups = ValidationGroups.PatternCheckGroup.class
    )
    private String password;


    public User toUserEntity() {
        return User.builder()
                .username(email)
                .password(new BCryptPasswordEncoder().encode(password)) // 비밀번호 암호화
                .name(firstName + lastName)
                .email(email)
                .role_id(1) // 사용자 회원가입 : role_id -> 1
                .build();
    }
}

❗ @Valid, @Validated
@Valid : Java 기본 어노테이션
@Validated : Spring 프레임워크에서 지원하는 어노테이션. @Valid 기능에 추가적으로 유효성을 검사할 그룹을 지정할 수 있도록 한다.

@Validated (ValidationSequence.class) ➡️ 옵션을 주어 유효성 검사 그룹을 지정해 줄 수 있다. 해당 클래스에 있는 ValidationGroups 로 유효성 검사를 실시한다.

public interface ValidationGroups {
    public interface NotBlankGroup {};
    public interface SizeCheckGroup {};
    public interface PatternCheckGroup {};
}

@GroupSequence({ //➡️ Validation 검사 순서를 정해주기 위함. 
        ValidationGroups.NotBlankGroup.class,
        ValidationGroups.SizeCheckGroup.class,
        ValidationGroups.PatternCheckGroup.class,
        Default.class
})
public interface ValidationSequence {
}

참고 🧙
Spring Security - FilterChain
자바 정규 표현식 사용법 및 예제 - Pattern, Matcher
🙈SpringBoot @Valid로 유효성 검사하기🐵
@Valid 어노테이션으로 Parameter 검증하기
@Valid와 @Validated를 이용한 유효성 검증의 동작 원리 및 사용법 예시
스프링 시큐리티 기본 API및 Filter 이해

📢 소감 🐰
천원짜리 변호사 보는데 꽤 잼있다 ! 금요일 왔으면 . . .
남궁민 나오는 드라마 다 웃기고 재밌음
생각난 김에 김과장이나 또 봐야겠다