[8/10 TIL] SPRING SECURITY(Jwt 전용 Authentication 추가)

🍃프로그래머스 백엔드 데브코스 4기 교육과정을 듣고 정리한 글입니다.🍃

Jwt 전용 Authentication 추가

public class JwtAuthenticationToken extends AbstractAuthenticationToken {

  private final Object principal;

  private String credentials;

  public JwtAuthenticationToken(String principal, String credentials) {
    super(null);
    super.setAuthenticated(false);

    this.principal = principal;
    this.credentials = credentials;
  }

  JwtAuthenticationToken(Object principal, String credentials, Collection<? extends GrantedAuthority> authorities) {
    super(authorities);
    super.setAuthenticated(true);

    this.principal = principal;
    this.credentials = credentials;
  }

	// ... 생략 ...

}

• 지금까지 Authentication 인터페이스 구현체로 Spring Security에서 기본 제공하는 UsernamePasswordAuthenticationToken을 사용함
• 지금부터 JWT 인증 처리라는 것을 명확히 하기 위해 Authentication 인터페이스 구현체로 JwtAuthenticationToken 클래스를 추가함
  • 더이상 UsernamePasswordAuthenticationToken 사용 안함

public class JwtAuthentication {

  public final String token;

  public final String username;

  JwtAuthentication(String token, String username) {
    checkArgument(isNotEmpty(token), "token must be provided.");
    checkArgument(isNotEmpty(username), "username must be provided.");

    this.token = token;
    this.username = username;
  }

  @Override
  public String toString() {
    return new ToStringBuilder(this, ToStringStyle.SHORT_PREFIX_STYLE)
      .append("token", token)
      .append("username", username)
      .toString();
  }

}

• 또한, 기존 UsernamePasswordAuthenticationToken 클래스에서 인증된 사용자의 principal 타입으로 org.springframework.security.core.userdetails.User 타입이 사용
• 하지만 이제부터 JwtAuthenticationToken을 사용하므로 principal 타입에 JwtAuthentication 타입을 직접 만들어서 더 알맞게 사용

JwtAuthenticationFilter 수정

public class JwtAuthenticationFilter extends GenericFilterBean {

    private final Logger log = LoggerFactory.getLogger(getClass());

    private final String headerKey;

    private final Jwt jwt;

    public JwtAuthenticationFilter(String headerKey, Jwt jwt) {
        this.headerKey = headerKey;
        this.jwt = jwt;
    }

    /**
     * HTTP 요청 헤더에 JWT 토큰이 있는지 확인
     * JWT 토큰이 있다면, 주어진 토큰을 디코딩 하고,
     * UsernamePasswordAuthenticationToken 대체해서, JwtAuthenticationToken 객체를 생성
     */
    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)
            throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;

        if (SecurityContextHolder.getContext().getAuthentication() == null) {
            String token = getToken(request);
            if (token != null) {
                try {
                    Jwt.Claims claims = verify(token);
                    log.debug("Jwt parse result: {}", claims);

                    String username = claims.username;
                    List<GrantedAuthority> authorities = getAuthorities(claims);

                    if (isNotEmpty(username) && authorities.size() > 0) {
                        JwtAuthenticationToken authentication =
                                new JwtAuthenticationToken(new JwtAuthentication(token, username), null, authorities);
                        authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
                        SecurityContextHolder.getContext().setAuthentication(authentication);
                    }
                } catch (Exception e) {
                    log.warn("Jwt processing failed: {}", e.getMessage());
                }
            }
        } else {
            log.debug("SecurityContextHolder not populated with security token, as it already contained: '{}'",
                    SecurityContextHolder.getContext().getAuthentication());
        }

        chain.doFilter(request, response);
    }

    private Jwt.Claims verify(String token) {
        return jwt.verify(token);
    }

    private List<GrantedAuthority> getAuthorities(Jwt.Claims claims) {
    	//생략
    }
}

• JWT 토큰을 검증하고, 디코딩한 다음 JwtAuthenticationToken 객체를 생성
• JwtAuthenticationToken 생성자의 매개변수
  • principal 필드: JwtAuthentication 객체
  • details 필드: 클라이언트 IP 정보를 지닌, WebAuthenticationDetails 객체
• SecurityContextHolder.getContext().setAuthentication 메소드를 호출해 JwtAuthenticationToken 객체 참조를 전달함