🎫 JWT 기반 인증 구현 - Stateless 인증 구조 & JWT

okorion·2025년 10월 6일

🔐 Spring Security 6

목록 보기

6/10

📖 들어가며

이번 장에서는 Spring Security의 Stateful 인증(JSESSIONID)을 무상태(Stateless) JWT 구조로 대체한다.

기존 JSESSIONID + XSRF-TOKEN 쿠키 기반 인증은

세션에 사용자 상태를 저장하고,
서버가 사용자 식별을 담당했다.

반면, JWT(JSON Web Token)을 사용하면

“사용자 상태를 토큰 내부에 직접 저장하여, 서버가 상태를 기억하지 않아도 된다.”

즉, 백엔드 서버는 완전히 Stateless하게 동작하며,

모든 요청은 Authorization 헤더에 JWT를 포함해 인증된다.

#1. Opaque Token vs JWT

구분	Opaque Token	JWT Token
형태	무의미한 랜덤 문자열	JSON 구조(Base64 인코딩)
정보 저장	없음 (서버 세션에 저장)	토큰 내부에 저장(Self-contained)
검증 방식	서버에 매번 검증 요청 필요	공개 키로 로컬 검증 가능
의존성	Auth 서버 필요	독립적 검증 가능
이상적 환경	폐쇄망 / 내부 API	마이크로서비스 / 분산 환경
속도	느림 (서버 통신 필요)	빠름 (로컬 검증 가능)

🔑 JWT의 핵심 이점:

Auth 서버에 매번 의존하지 않고, 공개키 검증만으로 토큰의 유효성을 판단할 수 있다.

#2. 토큰 기반 인증의 장점

✅ 자격 증명 노출 최소화

로그인 시 1회만 아이디/비밀번호 전송 → 이후 요청은 JWT만 전송

→ 네트워크 내 자격 증명 노출 최소화
🕓 만료 시간(Expiration)

토큰 생성 시 만료 시간(exp) 지정

→ 토큰 탈취 시에도 일정 시간이 지나면 자동 무효화
📦 Self-contained 구조

사용자명, 권한, 발급일시 등을 토큰 내부에 저장

→ 서버/DB에 별도 세션 관리 필요 없음
🔁 재사용성 (SSO)

한 번 로그인 시 발급된 토큰을 여러 서비스에서 사용 가능

→ Single Sign-On(SSO) 구현에 적합
📱 Cross-platform 호환성

웹, 모바일, IoT 등 어디서나 동일한 방식으로 사용 가능
🧱 Stateless (무상태)

서버 간 세션 동기화 불필요 → 수평 확장(MSA) 환경에 최적화

#3. JWT 구조 이해

JWT는 Header.Payload.Signature의 세 부분으로 구성된다.

xxxxx.yyyyy.zzzzz

구성요소	역할	예시
Header	메타데이터(알고리즘, 타입)	`{"alg": "HS256", "typ": "JWT"}`
Payload	사용자 정보(Claim)	`{"sub":"user", "role":"admin", "exp":1718794117}`
Signature	무결성 검증용 디지털 서명	HMACSHA256(Base64(header+payload), secret)

✏️ 디지털 서명(Signature)

서명은 토큰 변조를 감지하는 핵심 요소.

비밀키(secret)로 생성되며, 토큰 조작 시 서명이 불일치하게 된다.

#4. JWT 변조 시 탐지 원리

해커는 Payload를 Base64로 디코딩해 수정할 수 있지만, Secret Key 없이 Signature를 재생성할 수 없다.
백엔드는 HMAC 계산을 다시 수행하여 불일치 시 변조로 판단한다.

#5. Spring Security 설정 변경

http
    .sessionManagement(session ->
        session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
    )
    .securityContext(AbstractHttpConfigurer::disable) // JSESSIONID 비활성화
    .cors(cors -> cors.configurationSource(...))
    .csrf(csrf -> csrf.disable());

STATELESS: 세션 상태 유지 X
SecurityContext 비활성화: JSESSIONID 제거
CORS 노출 헤더: setExposedHeaders(List.of("Authorization"))

#6. JWT 생성 필터 (Generator)

📁 JWTTokenGeneratorFilter.java

@Component
public class JWTTokenGeneratorFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest req, HttpServletResponse res, FilterChain chain)
            throws IOException, ServletException {

        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        if (auth != null) {
            String secret = env.getProperty("JWT_SECRET", "default_secret");
            SecretKey secretKey = Keys.hmacShaKeyFor(secret.getBytes(StandardCharsets.UTF_8));

            String jwt = Jwts.builder()
                    .issuer("EazyBank")
                    .subject("JWT Token")
                    .claim("username", auth.getName())
                    .claim("authorities", auth.getAuthorities().stream()
                        .map(GrantedAuthority::getAuthority)
                        .collect(Collectors.joining(",")))
                    .issuedAt(new Date())
                    .expiration(new Date(System.currentTimeMillis() + 8 * 60 * 60 * 1000))
                    .signWith(secretKey)
                    .compact();

            res.setHeader("Authorization", jwt);
        }

        chain.doFilter(req, res);
    }

    @Override
    protected boolean shouldNotFilter(HttpServletRequest request) {
        return !request.getServletPath().equals("/user");
    }
}

로그인 요청 시(POST /user)만 JWT를 생성하고

이후 요청에서는 JWTTokenValidatorFilter가 검증을 담당한다.

#7. JWT 검증 필터 (Validator)

📁 JWTTokenValidatorFilter.java

@Component
public class JWTTokenValidatorFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest req, HttpServletResponse res, FilterChain chain)
            throws IOException, ServletException {

        String jwt = req.getHeader("Authorization");
        if (jwt != null) {
            try {
                String secret = env.getProperty("JWT_SECRET", "default_secret");
                SecretKey secretKey = Keys.hmacShaKeyFor(secret.getBytes(StandardCharsets.UTF_8));

                Claims claims = Jwts.parser()
                        .verifyWith(secretKey)
                        .build()
                        .parseSignedClaims(jwt)
                        .getPayload();

                String username = claims.get("username", String.class);
                String authorities = claims.get("authorities", String.class);

                Authentication auth = new UsernamePasswordAuthenticationToken(
                        username, null,
                        AuthorityUtils.commaSeparatedStringToAuthorityList(authorities));

                SecurityContextHolder.getContext().setAuthentication(auth);

            } catch (Exception e) {
                throw new BadCredentialsException("Invalid Token received");
            }
        }

        chain.doFilter(req, res);
    }

    @Override
    protected boolean shouldNotFilter(HttpServletRequest request) {
        return request.getServletPath().equals("/user");
    }
}

#8. 필터 등록

📁 ProjectSecurityConfig.java

http
  .addFilterAfter(new JWTTokenGeneratorFilter(), BasicAuthenticationFilter.class)
  .addFilterBefore(new JWTTokenValidatorFilter(), BasicAuthenticationFilter.class);

#9. JWT 만료 테스트

.expiration(new Date(System.currentTimeMillis() + 3000)); // 3초

3초 후 요청 시 ExpiredJwtException 발생 → BadCredentialsException("Invalid Token") 반환

💡 개선 포인트:

만료 예외와 변조 예외를 별도 처리하여

401 Unauthorized: 만료

403 Forbidden: 변조 로 구분하면 실무에서 디버깅이 쉬워진다.

#10. JWT 검증 흐름 요약

#11. REST API 로그인 (RequestBody 기반)

📁 UserController.java

@PostMapping("/apiLogin")
public ResponseEntity<LoginResponseDTO> apiLogin(@RequestBody LoginRequestDTO request) {
    Authentication authReq = UsernamePasswordAuthenticationToken.unauthenticated(
        request.username(), request.password());

    Authentication authRes = authenticationManager.authenticate(authReq);

    if (authRes != null && authRes.isAuthenticated()) {
        String jwt = generateJwt(authRes); // 동일한 Generator 로직 재사용
        return ResponseEntity.ok()
                .header("Authorization", jwt)
                .body(new LoginResponseDTO("OK", jwt));
    }
    throw new BadCredentialsException("Login Failed");
}

#12. Angular 클라이언트 변경 요약

위치	역할	주요 코드
`login.component.ts`	로그인 성공 시 토큰 저장	`sessionStorage.setItem('Authorization', token)`
`app.request.interceptor.ts`	모든 요청에 JWT 자동 첨부	`req = req.clone({ headers: req.headers.set('Authorization', token) })`
`logout.component.ts`	세션 종료 시 JWT 삭제	`sessionStorage.removeItem('Authorization')`

#13. JWT 만료 및 변조 디버깅 예시

상황	예외	HTTP 응답	설명
만료(Exp)	`ExpiredJwtException`	401	토큰 유효시간 초과
변조(Signature)	`SignatureException`	403	디지털 서명 불일치
잘못된 형식	`MalformedJwtException`	400	토큰 파싱 불가
키 불일치	`InvalidKeyException`	500	secret key 손상

#14. 결론

JWT 기반 인증은

세션 없는 확장성 (Statelessness)
보안 강화 (서명 검증, 만료 시간)
마이크로서비스 적합성 (Self-contained) 을 제공한다.

다만,

Secret 관리, 만료 처리, Refresh Token 전략이 반드시 병행되어야 한다.

okorion

Tech Blog

이전 포스트

🧩 CORS & CSRF 보안 기초 - 요청 보호 기초: CSRF와 CORS 구조

다음 포스트