📚[Spring] Interceptor

Interceptor 를 활용한 API 권한 검사 및 로깅

요구사항

1. Interceptor를 사용한 API 로깅

• 요청 정보(HttpServletRequest)를 사전 처리합니다.
• 어드민 권한 여부를 확인하여 인증되지 않은 사용자의 접근을 차단합니다.
• 인증 성공 시, 요청 시각과 URL을 로깅하도록 구현하세요.

---

Interceptor 란?

HandlerInterceptor 인터페이스를 구현해 만들며 세 개의 주요 메서드를 가진다.

• preHandel() : 컨트롤러 실행 전에 호출되며 여기서 요청을 계속 진행할지 결정한다.
• postHandler() : 컨트롤러 실행 후에 호출되며 응답 처리 직전에 후처리를 할 수 있다.
• afterCompletion() : 뷰까지 렌더링이 완료된 후 호출되어 마무리 작업을 할 수 있다.

요구사항에 맞게 요청 정보를 사전 처리하는 작업을 preHandle()로 구현했다.

---

구현예시 - AuthInterCeptor

@Slf4j
@Component
@RequiredArgsConstructor
public class AuthInterceptor implements HandlerInterceptor {

	@Override
	public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {

		UserRole role = UserRole.of((String)(request.getAttribute("userRole")));

		if (!UserRole.ADMIN.equals(role)) {
			throw new AuthException("권한이 없습니다.");
		}

		Long userId = (Long)request.getAttribute("userId");
		String url = request.getRequestURI();
		// String stamp = LocalDateTime.now().format(DateTimeFormatter.ISO_LOCAL_DATE_TIME);

		log.info("권한이 확인되었습니다. userId = {}, url = {}, timestamp = {}", userId, url, LocalDateTime.now());

		return true;
	}
}

• 요청에서 userRole 정보를 꺼내 어드민인지 검사한다.
• 어드민이 아니면 예외를 던져서 요청을 막는다.
• 어드민이면 사용자 ID, 요청 URL, 시간 정보를 로그로 남긴다.
• 마지막에 true 를 반환해 요청을 계속 진행하게 한다.

---

인터셉터 등록 - WebConfig

@Configuration
@RequiredArgsConstructor
public class WebConfig implements WebMvcConfigurer {
    public final AuthInterceptor authInterceptor;
	
    ...
    
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(authInterceptor)
            .addPathPatterns("/admin/**"); // /admin/** 경로에만 적용
    }
}

• WebMvcConfigurer를 구현한 설정 클래스에서 인터셉터를 등록한다.
• addPathPatterns()로 인터셉터를 적용할 URL 패턴을 지정할 수 있다.

  필요에 따라 .order(), .excludePathPatterns() 같은 설정도 가능하다.

  • .order(index) : 체인순서를 설정
  • .addPathPatterns("url") : 체인을 적용할 url 을 설정
  • .excludePathPatterns("url") : 체인을 제외할 url 을 설정