🔐 Spring Boot로 구현하는 소셜 로그인과 JWT 인증 시스템

안녕하세요, 개발자 여러분! 오늘은 제가 최근에 완성한 Spring Boot 기반의 소셜 로그인 프로젝트에 대해 공유해보려고 합니다. 요즘 대부분의 서비스에서 소셜 로그인은 필수적인 기능이 되었죠. 사용자 경험을 개선하고 보안을 강화하는 소셜 로그인 시스템을 어떻게 구현했는지 함께 살펴보아요!

상세 코드 (꼭 보고.. star..부탁)

https://github.com/twoweekhee/oauth2-demo

📚 목차

1. 프로젝트 개요
2. 기술 스택
3. OAuth2 & Security 구현 상세
4. 인증 프로세스 흐름
5. 토큰 관리 방식
6. 보안 강화 포인트
7. 프로젝트 설정 방법
8. 마치며

프로젝트 개요

우리 팀은 사용자 인증 시스템을 개발하면서 보안성과 사용자 경험 두 마리 토끼를 모두 잡고 싶었어요. 🐰🐰 그래서 가장 많이 사용되는 소셜 로그인(Google, Kakao, Naver)을 모두 지원하고, JWT 기반의 인증 시스템을 도입했답니다.

이 프로젝트의 주요 기능은 다음과 같아요:

• 🔑 소셜 로그인 (Google, Kakao, Naver)
• 🎫 JWT 기반 인증 (Access Token, Refresh Token)
• 🔒 보안 설정 (CORS, CSRF 관리)
• 🍪 쿠키 기반 토큰 관리
• 📝 사용자 약관 동의 프로세스

기술 스택

프로젝트를 시작하기 전, 최신 기술 스택을 선택해 안정적이고 확장 가능한 시스템을 구축하려고 노력했어요. 사용한 기술은 다음과 같습니다:

• Java 21
• Spring Boot 3.4.5
• Spring Security
• Spring OAuth2 Client
• JWT (jjwt 0.12.3)
• MySQL
• Redis
• QueryDSL
• Lombok

특히 Java 21과 Spring Boot 3.4.5를 선택한 이유는 최신 기능들과 성능 개선을 활용하기 위해서였어요. 🚀 또한 Redis를 사용해 토큰 관리의 효율성을 높였습니다.

OAuth2 & Security 구현 상세

OAuth2 소셜 로그인 구현은 크게 세 단계로 나누어서 진행했어요.

OAuth2 구현 방식

먼저, Spring Security OAuth2 Client를 사용해 각 소셜 로그인 제공자(Google, Kakao, Naver)를 설정했어요. 각 제공자별로 필요한 scope와 user-info-uri를 적절히 구성하는 것이 중요했습니다.

소셜 로그인 인증 프로세스는 다음과 같은 컴포넌트로 구성되어 있어요:

1. CustomAuthorizationRequestResolver: OAuth2 인증 요청을 처리합니다.
2. CustomOAuth2UserService: 소셜 로그인 사용자 정보를 가져와 처리합니다.
3. OAuth2AuthenticationSuccessHandler: 인증 성공 시 JWT 토큰을 발급합니다.
4. OAuth2AuthenticationFailureHandler: 인증 실패 시 적절한 에러 처리를 합니다.

특히 로그인 성공 핸들러에서는 사용자 정보를 기반으로 JWT 토큰을 생성하고, 이를 쿠키에 안전하게 저장하는 로직을 구현했어요. 😎

Security 구현 방식

Spring Security 설정은 보안과 확장성을 고려해 다음과 같이 구현했습니다:

@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) {
        return http
            .cors(cors -> cors.configurationSource(corsConfigurationSource()))
            .csrf(AbstractHttpConfigurer::disable)
            .formLogin(AbstractHttpConfigurer::disable)
            .sessionManagement(session -> 
                session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
            .authorizeHttpRequests(authorize -> authorize
                .requestMatchers("/public/**").permitAll()
                .requestMatchers("/private/**").authenticated()
                .anyRequest().denyAll())
            .oauth2Login(oauth2 -> oauth2
                .authorizationEndpoint(endpoint -> endpoint
                    .authorizationRequestResolver(customAuthorizationRequestResolver))
                .userInfoEndpoint(userInfo -> userInfo
                    .userService(customOAuth2UserService))
                .successHandler(oAuth2AuthenticationSuccessHandler)
                .failureHandler(oAuth2AuthenticationFailureHandler))
            .build();
    }
}

이 설정은 REST API 기반 서비스에 맞게 최적화되어 있어요. CSRF 보호는 비활성화했지만, 대신 JWT 토큰과 HttpOnly 쿠키로 보안을 강화했습니다.

또한 세션을 STATELESS로 설정해 서버의 부하를 줄이고 확장성을 높였어요. 📈

인증 프로세스 흐름

사용자 인증 과정이 어떻게 이루어지는지 좀 더 자세히 살펴볼까요?

소셜 로그인 과정

1. 사용자가 프론트엔드에서 "Google로 로그인" 버튼을 클릭합니다.
2. /api/public/oauth2/google 엔드포인트로 요청이 전송됩니다.
3. 사용자는 Google 로그인 페이지로 리다이렉트됩니다.
4. 사용자가 Google에서 로그인 인증을 완료합니다.
5. Google은 인증 코드와 함께 우리 서비스의 콜백 URL로 리다이렉트합니다.
6. 서버에서는 이 코드를 사용해 Google API에서 사용자 정보를 획득합니다.
7. 사용자 정보를 기반으로 JWT 토큰(Access Token, Refresh Token)을 생성합니다.
8. 토큰은 HttpOnly 쿠키에 저장되고, 사용자는 메인 페이지로 리다이렉트됩니다.

이 과정은 Kakao와 Naver 로그인에도 동일하게 적용됩니다. 단지 제공자별 API 엔드포인트와 사용자 정보 형식만 다를 뿐이에요. 🔄

회원가입 과정

소셜 로그인을 처음 시도하는 사용자는 자동으로 회원가입 프로세스로 안내됩니다:

1. 소셜 로그인 성공 후, 시스템은 사용자가 신규인지 기존 사용자인지 확인합니다.
2. 신규 사용자인 경우, 약관 동의 페이지로 리다이렉트됩니다.
3. 사용자가 약관에 동의하면, 다음 정보가 저장됩니다:
   • 소셜 계정 정보 (이메일, 소셜 ID, 제공자 정보)
   • 사용자 역할 (기본적으로 ROLE_USER)
   • 약관 동의 정보 (동의 시간, 약관 버전 등)
4. 회원가입이 완료되면 JWT 토큰이 발급되고, 사용자는 메인 페이지로 안내됩니다.

이렇게 사용자는 별도의 회원가입 폼을 작성할 필요 없이 소셜 계정만으로 빠르게 서비스에 가입할 수 있어요. 👍

토큰 관리 방식

JWT 토큰 관리는 보안의 핵심이죠! 😉 우리 프로젝트에서는 Access Token과 Refresh Token을 함께 사용해 보안을 강화했습니다.

토큰 구성

• Access Token: 실제 API 접근에 사용되며, 30분의 짧은 만료 시간을 가집니다.
• Refresh Token: Access Token 갱신에 사용되며, 2일의 만료 시간을 가집니다.

토큰 갱신 과정

1. 사용자의 Access Token이 만료되면(30분 후), 클라이언트는 자동으로 토큰 갱신을 요청합니다.
2. 서버는 쿠키에서 Refresh Token을 확인하고, Redis에 저장된 값과 비교해 유효성을 검증합니다.
3. 유효한 경우, 새로운 Access Token을 발급하고 쿠키에 저장합니다.
4. Refresh Token은 계속 유효하므로 그대로 유지됩니다.

이런 방식으로 사용자는 2일 동안 로그인 상태를 유지할 수 있으면서도, 실제 API 접근 권한(Access Token)은 30분마다 갱신되어 보안이 강화됩니다.

보안 강화 포인트

이 프로젝트에서는 다양한 방법으로 보안을 강화했어요:

1. HttpOnly 쿠키: XSS 공격으로부터 토큰을 보호합니다.
2. Stateless 세션 관리: 서버 부하를 줄이고 확장성을 높입니다.
3. Redis를 활용한 토큰 관리: Refresh Token을 안전하게 관리하고, 필요시 즉시 무효화할 수 있습니다.
4. CORS 설정: 허용된 오리진에서만 API 요청이 가능하도록 제한합니다.

특히 로그아웃 시에는 다음과 같은 프로세스로 보안을 강화했습니다:

// 로그아웃 처리 코드 일부
Cookie deletedAccessCookie = cookieProvider.generateDeletedAccessTokenCookie();
Cookie deletedRefreshCookie = cookieProvider.generateDeletedRefreshTokenCookie();
response.addCookie(deletedAccessCookie);
response.addCookie(deletedRefreshCookie);
// Redis에서 Refresh Token 삭제
// SecurityContext 초기화

이렇게 클라이언트 쿠키와 서버 Redis 저장소 모두에서 토큰을 제거해 완벽한 로그아웃을 구현했어요. 🛡️

프로젝트 설정 방법

이 프로젝트를 직접 실행해보고 싶으신가요? 다음 단계를 따라해보세요:

필수 환경 변수 설정

# OAuth2 Client Credentials
GOOGLE_CLIENT_ID=${YOUR_GOOGLE_CLIENT_ID}
GOOGLE_CLIENT_SECRET=${YOUR_GOOGLE_CLIENT_SECRET}
KAKAO_CLIENT_ID=${YOUR_KAKAO_CLIENT_ID}
KAKAO_CLIENT_SECRET=${YOUR_KAKAO_CLIENT_SECRET}
NAVER_CLIENT_ID=${YOUR_NAVER_CLIENT_ID}
NAVER_CLIENT_SECRET=${YOUR_NAVER_CLIENT_SECRET}

# JWT Keys
ACCESS_TOKEN_KEY=${YOUR_ACCESS_TOKEN_KEY}
REFRESH_TOKEN_KEY=${YOUR_REFRESH_TOKEN_KEY}

# Database
MYSQL_URL=jdbc:mysql://localhost:3306/oauth2_demo
MYSQL_USER_NAME=${YOUR_MYSQL_USERNAME}
MYSQL_PASSWORD=${YOUR_MYSQL_PASSWORD}

각 소셜 로그인 제공자의 개발자 콘솔에서 클라이언트 ID와 시크릿을 발급받아 설정해주세요.

실행 방법

1. MySQL과 Redis 서버를 실행합니다.
2. 환경 변수를 설정합니다.
3. 다음 명령어로 애플리케이션을 실행합니다:

./gradlew bootRun

4. 브라우저에서 http://localhost:8080에 접속해 소셜 로그인 기능을 테스트해보세요!

API 문서는 Swagger UI를 통해 확인할 수 있어요: http://localhost:8080/api/swagger-ui/index.html

마치며

소셜 로그인과 JWT 인증을 구현하면서 배운 점이 정말 많았어요. 사용자 경험과 보안 사이의 균형을 맞추는 것이 가장 어려웠지만, Spring Security와 OAuth2 Client의 강력한 기능 덕분에 안정적인 시스템을 구축할 수 있었습니다.

다음 단계로는 소셜 로그인 정보를 활용한 사용자 프로필 관리와, 권한 기반의 세밀한 접근 제어 시스템을 구현할 계획이에요. 🚀

여러분도 이 글이 소셜 로그인 구현에 도움이 되었으면 좋겠네요! 궁금한 점이나 개선할 부분이 있다면 댓글로 알려주세요. 함께 성장해요! 👋

---

참고: 이 글에 사용된 코드는 데모 애플리케이션을 위한 것이며, 실제 프로덕션 환경에서는 추가적인 보안 설정이 필요할 수 있습니다.