Spring Security + JWT: 인증했는데 왜 또 유저를 찾나요?

한잔해·2025년 4월 28일

TroubleShooting

목록 보기

3/4

🧐 문제 상황

현재 프로젝트에서 인증/인가 로그인 맡으신 팀원 분이 Spring Security + JWT 토큰 인증을 적용하고 있다.
API 요청 시, 토큰을 통해 유저 인증을 이미 Filter 단계에서 완료했는데,Service 레이어에서 다시 userRepository.findById()를 호출해 유저 유효성 검사를 하고 있었다.

프로젝트 마무리 단계에서 문득 이런 생각이 들었다.
"아니 토큰으로 이미 인증했는데? 왜 또 귀찮게 조회해?? 불필요한 DB 호출도 되는거 잖아 성능적으로 안좋을 거 같은데.." 라는 의문이 들었다.

🛑 발생한 고민
1. JWT 인증은 이미 했는데, 또 DB 조회까지 해야 되나?
2. userId를 토큰에 담아놨는데, 이것만 믿으면 안 되는 걸까?
3. 혹시 보안적으로 위험할 수도 있나?

분석

JWT 토큰은 서버가 인증을 '한 번'하고, 그 이후로는 토큰을 믿고 처리하는 이어가는 방식이다.
Service 레이어에서는 토큰을 파싱한 userId를 사용해서 굳이 유저 정보를 다시 조회할 필요가 없어 보였다.
실제로는 JWT는 서버가 별도로 DB 조회 없이 토큰 자체로 인증 정보를 검증할 수 있기 때문에, 매 요청마다 DB를 거치지 않아 성능상 이점이 있다.
하지만, DB에 존재하는 실제 유저인지는 최종적으로 검증하는 책임은 여전히 남아있었다.

알아본 해결책

1. CustomUserDetails 사용하기

Spring Security에서는 인증된 유저 정보를 UserDetails라는 인터페이스로 관리한다.
내가 직접 구현한 CustomUserDetails 클래스에 유저의 필요한 정보를 담아서, 이후 @AuthenticationPrincipal을 통해 손쉽게 유저 정보를 가져올 수 있다.
이를 통해 Service나 Controller에서 userRepository.findById() 없이 유저 정보를 바로 가져올수 있다.

public class CustomUserDetails implements UserDetails {
    private final User user;

    public CustomUserDetails(User user) {
        this.user = user;
    }

    public Long getUserId() {
        return user.getId();
    }

    // UserDetails 필수 메서드들 override
}

2. @AuthenticationPrincipal로 유저 정보 바로 사용하기

인증이 완료되면 Spring Security가 Authentication 객체에 CustomUserDetails를 저장한다.
이때 @AuthenticationPrincipal 어노테이션을 사용하면, 인증된 유저의 정보를 바로 꺼낼 수 있다.

@GetMapping("/profile")
public ApiResponseDto<MyProfileResponseDto> getProfile(@AuthenticationPrincipal CustomUserDetails userDetails) {
    Long userId = userDetails.getUserId();
    // 여기서부터 DB 조회 없이 userId 사용 가능
}

내 코드의 적용해보자

기존 코드

     /**
     * 장바구니 생성 API
     *
     * @param storeId            가게 ID (장바구니를 생성할 가게)
     * @param httpServletRequest HttpServletRequest (요청 URI 정보)
     * @return 장바구니 생성 결과
     * @throws CustomException USER_NOT_FOUND, STORE_NOT_FOUND, CART_ALREADY_EXISTS
     */
    @PostMapping("/cart/{storeId}")
    public ResponseEntity<ApiResponseDto<Void>> createCart(
            @PathVariable Long storeId,
            HttpServletRequest httpServletRequest) {

        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        Long userId = Long.parseLong(auth.getName());

        cartService.createCart(userId, storeId);

        return ResponseEntity.ok(ApiResponseDto.success(SuccessCode.CREATE_CART_SUCCESS, null, httpServletRequest.getRequestURI()));
    }

    // 장바구니 생성 Service
    @Transactional
    public void createCart(Long userId, Long storeId) {
        // CustomUserDetails에서 가져온 userId로 유저 정보 확인
        User user = userRepository.findById(userId)
                .orElseThrow(() -> new CustomException(ErrorCode.USER_NOT_FOUND));

        // 삭제된 유저는 장바구니 생성 불가
        if (user.isDeleted()) {
            throw new CustomException(ErrorCode.USER_DELETED);
        }

        Store store = storeRepository.findById(storeId)
                .orElseThrow(() -> new CustomException(ErrorCode.STORE_NOT_FOUND));

        // 이미 장바구니가 존재하는 경우 예외 발생
        if (cartRepository.findByUserAndStore(user, store).isPresent()) {
            throw new CustomException(ErrorCode.CART_ALREADY_EXISTS);
        }

        Cart cart = new Cart(user, store);
        cartRepository.save(cart);
    }

개선 코드

    @PostMapping("/{storeId}")
    public ResponseEntity<ApiResponseDto<Void>> createCart(
            @PathVariable Long storeId,
            HttpServletRequest httpServletRequest) {

        // 인증된 사용자 정보 가져오기
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        CustomUserDetails customUserDetails = (CustomUserDetails) authentication.getPrincipal();
        User user = customUserDetails.getUser();  // CustomUserDetails에서 바로 User 객체를 가져옵니다.

        // 서비스 호출하여 장바구니 생성
        cartService.createCart(user.getId(), storeId, user);

        return ResponseEntity.ok(ApiResponseDto.success(SuccessCode.CREATE_CART_SUCCESS, null, httpServletRequest.getRequestURI()));
    }

 @Transactional
    public void createCart(Long userId, Long storeId, User user) {
        // 인증된 User 객체를 직접 받으므로, DB 조회 없이 사용 가능
        if (user.isDeleted()) {
            throw new CustomException(ErrorCode.USER_DELETED);
        }

        Store store = storeRepository.findById(storeId)
                .orElseThrow(() -> new CustomException(ErrorCode.STORE_NOT_FOUND));

        // 이미 장바구니가 존재하는 경우 예외 발생
        if (cartRepository.findByUserAndStore(user, store).isPresent()) {
            throw new CustomException(ErrorCode.CART_ALREADY_EXISTS);
        }

        Cart cart = new Cart(user, store);
        cartRepository.save(cart);
    }