🧩 실무형 Spring Security 보안 설계 완성

HTTPS, 예외 처리, 세션 관리, 이벤트 리스너까지 — Spring Security 실무 핵심을 마무리한다

---

#1. HTTPS 프로토콜 강제 (requiresChannel)

🌐 개념 요약

• HTTP(평문 통신)는 데이터가 암호화되지 않은 상태로 전송된다.
• HTTPS는 SSL/TLS 계층을 통해 요청과 응답을 암호화한다.
• 사용자의 신용카드 정보, 로그인 자격 증명 등을 보호하기 위해 프로덕션 환경에서는 반드시 HTTPS만 허용해야 한다.

⚙️ 설정 코드

@Configuration
@Profile("prod")
public class ProjectSecurityProdConfig {

    @Bean
    SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .requiresChannel(rcc ->
                rcc.anyRequest().requiresSecure()
            )
            .authorizeHttpRequests(req -> req.anyRequest().authenticated())
            .httpBasic(Customizer.withDefaults());
        return http.build();
    }
}

📘 핵심 메소드 요약

• requiresChannel() → HTTP 요청을 HTTPS로 리디렉션
• requiresSecure() → 모든 요청이 HTTPS로만 처리되도록 강제

🧠 추가 포인트

• 로컬/스테이징 환경에서는 requiresInsecure()를 통해 HTTP 허용 가능
• 프로파일(spring.profiles.active)별로 HTTP ↔ HTTPS 전환을 분리하는 것이 실무 표준

---

#2. 인증/인가 예외 처리 (401 & 403)

🔍 Spring Security 예외 구조

예외 유형	HTTP 상태 코드	설명	대응 인터페이스
AuthenticationException	401 Unauthorized	인증 실패 (잘못된 자격 증명, 토큰 만료 등)	AuthenticationEntryPoint
AccessDeniedException	403 Forbidden	인증은 되었지만 권한 부족	AccessDeniedHandler

🧩 내부 처리 흐름 (Mermaid)

---

#3. Custom AuthenticationEntryPoint (401 사용자 정의)

⚙️ 구현 예시

@Component
public class CustomBasicAuthenticationEntryPoint implements AuthenticationEntryPoint {

    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response,
                         AuthenticationException authException) throws IOException {

        response.setContentType("application/json;charset=UTF-8");
        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);

        String jsonResponse = String.format("""
            {
              "timestamp": "%s",
              "status": %d,
              "error": "Unauthorized",
              "message": "%s",
              "path": "%s"
            }
        """,
        LocalDateTime.now(),
        HttpServletResponse.SC_UNAUTHORIZED,
        authException != null ? authException.getMessage() : "Unauthorized",
        request.getRequestURI());

        response.getWriter().write(jsonResponse);
    }
}

💡 설정

http.httpBasic(hbc ->
    hbc.authenticationEntryPoint(new CustomBasicAuthenticationEntryPoint())
);

📘 실무 팁

• REST API 환경에서는 JSON 응답으로 에러를 통일
• Web/MVC 기반 앱이라면 accessDeniedPage("/403")로 HTML 페이지 리디렉션

---

#4. AccessDeniedHandler (403 사용자 정의)

⚙️ 구현 예시

@Component
public class CustomAccessDeniedHandler implements AccessDeniedHandler {

    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response,
                       AccessDeniedException accessDeniedException) throws IOException {
        response.setContentType("application/json;charset=UTF-8");
        response.setStatus(HttpServletResponse.SC_FORBIDDEN);

        String jsonResponse = """
            {
              "status": 403,
              "error": "Forbidden",
              "message": "Access Denied",
              "path": "%s"
            }
        """.formatted(request.getRequestURI());

        response.getWriter().write(jsonResponse);
    }
}

💡 전역 설정

http.exceptionHandling(ehc ->
    ehc.accessDeniedHandler(new CustomAccessDeniedHandler())
);

---

#5. 세션 관리 전략

🧭 세션 관련 주요 설정

목적	메소드	설명
세션 타임아웃	server.servlet.session.timeout=20m	기본 30분 → 환경별 지정 가능
유효하지 않은 세션 리디렉션	invalidSessionUrl("/invalidSession")	세션 만료 시 안내 페이지로 이동
동시 세션 제한	maximumSessions(1)	동일 사용자 다중 로그인 제한
세션 고정 공격 방지	sessionFixation().changeSessionId()	인증 후 세션 ID 재발급

🧠 세션 보호 전략 비교

전략	설명	비고
changeSessionId	기존 세션 속성 유지, ID만 교체	✅ 기본값 (Servlet 3.1 이후)
migrateSession	새 세션 생성 + 기존 속성 복사	과거 Spring Boot 2.x 기본
newSession	완전한 새 세션 생성	보안 강화용
none	보호 비활성화	🚫 권장되지 않음

---

#6. 세션 보안 다이어그램

---

#7. 인증 이벤트 리스너 (성공/실패 감지)

⚙️ AuthenticationEvents.java

@Slf4j
@Component
public class AuthenticationEvents {

    @EventListener
    public void onSuccess(AuthenticationSuccessEvent successEvent) {
        log.info("✅ 로그인 성공: {}", successEvent.getAuthentication().getName());
    }

    @EventListener
    public void onFailure(AbstractAuthenticationFailureEvent failureEvent) {
        log.error("❌ 로그인 실패: {} - 이유: {}",
                failureEvent.getAuthentication().getName(),
                failureEvent.getException().getMessage());
    }
}

📘 활용 예시

• 로그인 성공 시 이메일 발송, 로그인 실패 시 DB에 감사 로그 기록
• @EventListener는 Spring Boot의 일반 이벤트 시스템과 동일한 방식으로 작동

---

#8. Form Login & Logout 실무 구성

⚙️ Form Login

http.formLogin(flc -> flc
    .loginPage("/login")
    .defaultSuccessUrl("/dashboard")
    .failureUrl("/login?error=true")
    .successHandler(customAuthenticationSuccessHandler)
    .failureHandler(customAuthenticationFailureHandler)
);

⚙️ Logout

http.logout(loc -> loc
    .logoutSuccessUrl("/login?logout=true")
    .invalidateHttpSession(true)
    .clearAuthentication(true)
    .deleteCookies("JSESSIONID")
);

---

#9. SecurityContext & 인증 정보 접근

🔍 접근 방식 1 — SecurityContextHolder 직접 호출

Authentication authentication = SecurityContextHolder
    .getContext()
    .getAuthentication();

String username = authentication.getName();

🔍 접근 방식 2 — Controller 파라미터 주입

@GetMapping("/dashboard")
public String displayDashboard(Model model, Authentication authentication) {
    model.addAttribute("username", authentication.getName());
    model.addAttribute("roles", authentication.getAuthorities());
    return "dashboard.html";
}

🧩 구조 다이어그램

---

#10. 🧠 실무 종합 요약

구분	실무 목표	주요 설정
통신 보안	HTTPS 강제	requiresSecure()
예외 처리	401/403 응답 구조화	Custom EntryPoint / Handler
세션 보안	타임아웃 / 동시 세션 / 세션 고정 방지	sessionManagement()
이벤트 처리	로그인 감사 로그, 알림	@EventListener
UI 통합	Thymeleaf 조건 렌더링	sec:authorize="isAuthenticated()"
Context 접근	인증 정보 로드	SecurityContextHolder / DI