🧱 Spring Security 6 개요 & 기본 설정 완전 정리

📖 들어가며

실제 운영 환경에서 REST API는 아무나 접근 가능한 완전한 오픈 API 상태로 서비스를 배포할 수는 없습니다.

이번 글에서는 Spring Security가 어떻게 기본 보안을 제공하는지, 그리고 Security 구조의 내부 동작을 단계별로 분석합니다.

---

#1. Spring Security 의존성 추가로 얻는 변화

Spring Boot 앱에 다음 의존성만 추가합니다.

<dependency>
  <groupId>org.springframework.boot</groupId>
  <artifactId>spring-boot-starter-security</artifactId>
</dependency>

빌드 후 애플리케이션을 재실행하면 콘솔에 자동으로 생성된 비밀번호(UUID)가 표시됩니다.

Using generated security password: a12b3c4d-...

이제 /welcome 등 어떤 API를 호출하더라도 Spring Security가 자동으로 로그인 페이지를 생성합니다.

💡 직접 로그인 페이지를 만든 적이 없어도 자동으로 나타나는 이유는,

DefaultLoginPageGeneratingFilter가 HTML 로그인 화면을 자동 렌더링하기 때문입니다.

---

#2. 기본 동작 요약

항목	설명
기본 사용자 이름	user
기본 비밀번호	콘솔에 표시된 UUID
로그인 페이지	Spring Security 자동 생성
보호 범위	모든 API (/**)

✅ 로그인 성공 → API 정상 응답

✅ 실패 → 401 Unauthorized 또는 403 Forbidden

---

#3. 기본 계정 변경 (application.properties)

매번 비밀번호가 바뀌는 건 불편하므로, 다음처럼 정의합니다.

spring.security.user.name=${SECURITY_USERNAME:eazybytes}
spring.security.user.password=${SECURITY_PASSWORD:12345}

• :${} 구문 → 환경변수 없을 경우 기본값 사용
• DevOps 환경에서도 손쉽게 재정의 가능

재시작 후엔 콘솔에 더 이상 임시 비밀번호가 표시되지 않습니다.

---

#4. 세션 기반 인증 흐름

Spring Security는 기본적으로 세션 기반 인증(Session-based Authentication)을 사용합니다.

즉, 로그인 성공 시 JSESSIONID 쿠키를 발급하고 이후 요청 시 재사용합니다.

🔍 브라우저에서 확인

F12 → Application → Cookies → localhost:8080

쿠키명	역할
JSESSIONID	인증 세션 식별 키
값	서버의 SecurityContext와 매핑됨

💡 쿠키를 삭제하거나 조작하면 로그인 정보가 사라지고 다시 로그인 페이지가 나타납니다.

---

#5. 왜 보안이 중요한가?

"왜 웹 애플리케이션을 보호해야 하나요?"

면접 단골 질문입니다.

🔐 비유: 은행 시스템과 보안

• 은행은 금고·CCTV·경비 → 가치 있는 자산 보호
• 웹 앱도 사용자 데이터·비즈니스 로직·재무정보 등 가치 있는 자산을 보유

주요 보호 대상

1. 개인/민감 데이터 (PII)
2. 비즈니스 로직
3. 기업 지식 자산

보안을 늦게 넣으면 안 되는 이유

보안은 “비기능 요구사항(NFR)”이지만,

개발 초기부터 반영해야 합니다.

👉 SDLC의 “왼쪽으로 보안 이동(Shift Left Security)”

→ DevSecOps (Dev + Sec + Ops 협업) 개념 등장

---

#6. 보안의 계층 구조

Spring Security는 애플리케이션 레벨 보안을 담당합니다.

전체 인프라의 보안은 다음과 같은 계층 구조로 이루어집니다.

[클라우드] → [VM/OS] → [컨테이너] → [앱 서버] → [Spring Security]

계층	담당	예시
클라우드, VM, OS	운영팀	IAM, 방화벽, SSL
컨테이너, 서버	DevOps	HTTPS, 네트워크 제어
애플리케이션	개발자	인증, 인가, CSRF, CORS

---

#7. Spring Security 내부 구조

Spring Security는 Filter 기반 아키텍처로 작동합니다.

🔹 기본 요청 흐름

Client → Security Filters → DispatcherServlet → Controller

모든 요청은 서블릿 도달 전 다수의 Security Filter (약 20여 개)를 거칩니다.

필터	역할
AuthorizationFilter	인증되지 않은 요청 감시
DefaultLoginPageGeneratingFilter	로그인 페이지 생성
UsernamePasswordAuthenticationFilter	로그인 자격 증명 추출
BasicAuthenticationFilter	HTTP Basic 처리
CsrfFilter	CSRF 공격 방어
SecurityContextPersistenceFilter	세션 유지

---

#8. 인증(Authentication) 과정 흐름

• 첫 요청: AuthenticationManager → AuthenticationProvider가 인증 수행
• 성공 시: SecurityContext에 저장, 세션 유지
• 이후 요청: 세션 인증 재사용 (JSESSIONID 기반)

---

#9. 기본 Security 설정 분석

Spring Boot는 기본적으로 SpringBootWebSecurityConfiguration을 통해 아래 디폴트 구성을 제공합니다.

@Bean
SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http) throws Exception {
    http.authorizeHttpRequests(req -> req.anyRequest().authenticated());
    http.formLogin(Customizer.withDefaults());
    http.httpBasic(Customizer.withDefaults());
    return http.build();
}

📌 의미

• 모든 요청(anyRequest()) 인증 필요
• formLogin() → 브라우저 로그인 UI 제공
• httpBasic() → REST 클라이언트에서 헤더 인증

---

#10. 사용자 정의 SecurityFilterChain

@Configuration
public class ProjectSecurityConfig {

    @Bean
    SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests(req -> req
            .requestMatchers("/myAccount", "/myBalance", "/myLoans", "/myCards").authenticated()
            .requestMatchers("/notices", "/contact", "/error").permitAll()
        );

        http.formLogin(Customizer.withDefaults());
        http.httpBasic(Customizer.withDefaults());
        return http.build();
    }
}

✅ requestMatchers() 로 경로별 접근 제어

✅ permitAll() → 누구나 접근 가능

✅ authenticated() → 로그인 필요

---

#11. formLogin vs httpBasic

구분	특징	사용 상황
formLogin()	HTML 로그인 UI 자동 생성	브라우저 환경
httpBasic()	헤더에 Base64 인코딩 인증 정보 포함	REST 클라이언트, Postman

http.formLogin(flc -> flc.disable());
http.httpBasic(hbc -> hbc.disable());

→ 둘 다 비활성화 시 인증 불가 (403 Forbidden)

---

#12. Postman으로 인증 테스트

1. Postman 실행 → 새 요청 생성

2. URL 입력

   GET http://localhost:8080/myAccount
   

3. Authorization 탭 → Basic Auth 선택

   • Username: eazybytes
   • Password: 12345

자동 헤더 추가:

Authorization: Basic ZWF6eWJ5dGVzOjEyMzQ1

이는 username:password를 Base64 인코딩한 값입니다.

---

#13. 면접 & 실무 포인트 요약

질문	핵심 요약
Security 기본 인증 흐름?	Filter → AuthManager → Provider → UserDetailsService → PasswordEncoder → SecurityContext
formLogin vs httpBasic	UI 유무 / 요청방식 차이
permitAll / authenticated / denyAll	접근제어 구문 비교
JSESSIONID 역할	세션 인증 식별용 쿠키
왜 JWT 사용?	세션의 확장성 문제 해결 (Stateless 인증)