[Spring] Spring Security

🧙🏻‍♀️ Spring Security란?

• Java 기반의 애플리케이션에서 보안(인증, 인가, 권한)을 담당하는 Spring 하위 프레임워크
• REST API 및 서비스를 보호하기 위한 다양한 보안 기능을 제공
• Filter 흐름에 따라 처리

🕯️ Filter와 Interceptor

1. Filter

• Filter는 Dispatcher Servlet으로 가기 전에 적용됨
• 가장 먼저 URL 요청받음
• Web Container에서 관리

2. Interceptor

• Interceptor는 Dispatcher Servlet과 Controller 사이에 위치
• Spring Container에서 관리

🕯️ Security관련 Filter

1. FilterChain

• 기존 Web Application Server (WAS)의 filter chain
• client가 애플리케이션에 하나의 요청을 보내면, container는 하나의 FilterChain 생성
• filter와 servlet 포함

2. DelegationgFilterProxy

• HTTP 요청을 가져오기 위한 필터

3. FilterChainProxy

• DelegatingFilterProxy를 통해 받은 요청과 응답을 SecurityFilterChain에 전달하고 작업을 위임하는 역할

4. SecurityFilterChain

• 스프링 시큐리티에서 사용하는 여러 개의 필터

• 인증과 인가에 대한 필터들 정의

• SecurityFilterChain은 @Configuration 어노테이션을 붙인 설정 정보 클래스를 통해 스프링 빈 (@Bean)으로 등록 가능
  

• 여러 개의 SecurityFilterChain을 구성하여 매칭되는 URL에 따라 다른 SecurityFilterChain이 사용되도록 할 수 있음

5. SecurityFilter

• 요청을 스프링 시큐리티 매커니즘에 따라 처리하는 필터
• 시큐리티의 핵심 기능을 수행하는 지점

🧙🏻‍♀️ Authentication vs Authorization

• Authentication (인증) : 사용자의 신원을 확인하는 과정
• Authorization (인가) : 인증된 사용자에게 특정 리소스 또는 기능에 대한 액세스 권한을 부여하는 과정

🧙🏻‍♀️ Authentication Architecture

1. 유저가 로그인을 요청한다. (Http Request)
2. AuthenticationFilter 에서 UsernamePasswordAuthenticationToken 생성한다.
3. 해당 Token을 AuthenticationManager 에게 전달한다.
4. AuthenticationManager 는 등록된 AuthenticationProvider 들을 조회하여 인증을 요구한다.
5. 실제 DB에서 사용자 인증정보를 가져오는 UserDetailsService 에 사용자 정보를 넘겨준다.
6. 넘겨받은 사용자 정보를 통해 DB에서 찾은 사용자 정보를 담은 UserDetails 객체를 만든다.
7. AuthenticationProvider 는 UserDetails 를 넘겨받고 사용자 정보를 비교한다.
8. 인증이 완료되면 권한 등의 사용자 정보를 담은 Authentication 객체를 반환한다.
9. 다시 AuthenticationFilter 에 Authentication 객체가 반환된다.
10. Authenticaton 객체를 SecurityContext 에 저장한다.
(세션-쿠키 기반의 인증 방식)

🕯️ UsernamePasswordAuthenticationToken

• UsernamePasswordAuthenticationToken 은 Authentication 을 implement한 AbstractAuthenticationToken 의 하위클래스

public class UsernamePasswordAuthenticationToken extends AbstractAuthenticationToken {
    private static final long serialVersionUID = 570L;
    // 주로 사용자의 UserID 사용
    private final Object principal;
    // 주로 사용자의 password 사용
    private Object credentials;

	// 인증 완료 전의 객체 생성
    public UsernamePasswordAuthenticationToken(Object principal, Object credentials) {
        super((Collection)null);
        this.principal = principal;
        this.credentials = credentials;
        this.setAuthenticated(false);
    }
    
	// 인증 완료 후의 객체 생성
    public UsernamePasswordAuthenticationToken(Object principal, Object credentials, Collection<? extends GrantedAuthority> authorities) {
        super(authorities);
        this.principal = principal;
        this.credentials = credentials;
        super.setAuthenticated(true);
    }

    public static UsernamePasswordAuthenticationToken unauthenticated(Object principal, Object credentials) {
        return new UsernamePasswordAuthenticationToken(principal, credentials);
    }

    public static UsernamePasswordAuthenticationToken authenticated(Object principal, Object credentials, Collection<? extends GrantedAuthority> authorities) {
        return new UsernamePasswordAuthenticationToken(principal, credentials, authorities);
    }
}

🕯️ AuthenticationManager

• 인증은 AuthenticationManager 를 통해서 처리
• 실질적으로는 AuthenticationManager 에등록된 AuthenticationProvider에 의해 처리됨
• 인증 성공시, _UsernamePasswordAuthenticationToken의 두 번째 생성자를 이용해 객체를 생성하여 SecurityContext에 저장

public interface AuthenticationManager { 
	Authentication authenticate(Authentication authentication) throws AuthenticationException; 
}

🕯️ AuthenticationProvider

• 실제 인증에 대한 부분 처리
• 인증 전의 Authentication 객체를 받아서 인증이 완료된 객체를 반환

public interface AuthenticationProvider { 
	Authentication authenticate(Authentication authentication) throws AuthenticationException; 	
    boolean supports(Class<?> authentication); 
}

🕯️ ProviderManager

• AuthenticationProvider를 구성하는 목록 가짐

🕯️ UserDetailsService

• UserDetails 객체를 반환하는 단 하나의 메소드 가짐
• 이 interface를 implements한 클래스에 UserRepository 를 주입받아 DB와 연결하여 처리

public interface UserDetailsService {
    UserDetails loadUserByUsername(String username) throws UsernameNotFoundException;
}

🕯️ UserDetails

• 인증 성공 후, Authentication 객체를 구현한 UsernamePasswordAuthenticationToken 을 생성하기 위해 사용

public interface UserDetails extends Serializable {

	// 권한 목록
    Collection<? extends GrantedAuthority> getAuthorities();

    String getPassword();

    String getUsername();

	// 계정 만료 여부
    boolean isAccountNonExpired();

	// 계정 잠김 여부
    boolean isAccountNonLocked();

	// 비밀번호 만료 여부
    boolean isCredentialsNonExpired();

	// 사용자 활성화 여부
    boolean isEnabled();
}

🕯️ SecurityContextHolder

• 보안 주체의 세부 정보, 응용프로그램의 현재 보안 컨텍스트에 대한 세부 정보 저장

🕯️ SecurityContext

• Authentication 보관
• SecurityContext 통해서 Authentication 저장 / 가져올 수 있음

SecurityContextHolder.getContext().setAuthentication(authentication);
SecurityContextHolder.getContext().getAuthentication(authentication);

🕯️ Authentication

• 접근하는 주체에 대한 정보와 권한 담은 인터페이스
• SecurityContextHolder 통해서 SecurityContext에 접근
  ->
  SecurityContext 통해서 Authentication에 접근

public interface Authentication extends Principal, Serializable {

	// 현재 사용자의 권한 목록
    Collection<? extends GrantedAuthority> getAuthorities();

	// 주로 password를 가져옴
    Object getCredentials();

    Object getDetails();

	// Principal (보호된 대상에 접근하는 유저) 객체를 가져옴
    Object getPrincipal();

	// 인증 여부 가져옴
    boolean isAuthenticated();

	// 인증 여부 설정
    void setAuthenticated(boolean isAuthenticated) throws IllegalArgumentException;
}

🕯️ GrantedAuthority

• 현재 사용자(Principal)가 가지고 있는 권한
• ROLE_*의 형태로 사용
  ex) ROLE_USER, ROLE_ADMIN
• UserDetailsService 에 의해 불러올 수 있음

출처 : https://velog.io/@dlthgml0108/Spring-Security-%EC%9D%B8%EC%A6%9D%EA%B3%BC-%EC%9D%B8%EA%B0%80

https://limdevbasic.tistory.com/19#google_vignette