[Spring Security] 아키텍처 이해 - 인증(Authentication) 이해하기

식빵·2022년 8월 15일

spring-security-lecture-memo

목록 보기

13/28

이 시리즈에 나오는 모든 내용은 인프런 인터넷 강의 - 스프링 시큐리티 - Spring Boot 기반으로 개발하는 Spring Security - 에서 기반된 것입니다. 그리고 여기서 인용되는 PPT 이미지 또한 모두 해당 강의에서 가져왔음을 알립니다.

인증이라는 것은 서버에 "내가 누구인지"를 알려주는 절차이다.
그런데 이런 인증을 위해서 스프링 시큐리티는 내부적으로 토큰이라는 개념을
사용한다. 이 토큰이라는 게 뭔지, 구조는 어떤지 알아보자.

🥝 토큰(Token)

스프링 시큐리티에서는 인증 정보를 하나의 토큰 개념으로 관리한다.
그래서 우리가 앞서 본 로그인 과정에서도 UsernamePasswordAuthenticationToken 이라는 이름의 클래스를 사용했던 것이다.
앞으로는 토큰이라는 명칭이 나오면 인증과 관련된 거라고 이해하자.

그런데 이런 토큰은 "인증 시"와 "인증 후"에 내부 데이터가 다르다.

인증 시: id, password 정보를 담는다
인증 후: User 객체, 권한 정보를 담는다.

참고로 인증 후에 토큰은 SecurityContext에 저장되어서 전역적으로 참조할 수 있다.

SecurityContextHolder.getContext().getAuthentication();

🥝 토큰의 구조

토큰에는 내부에서 저장하는 것들은 다음과 같다.

principal: 사용자 아이디 혹은 User 객체 저장
credentials : 사용자 비밀번호
authorities : 인증 사용자의 권한 목록
details : 인증 부가 정보
Authenticated : 인증 여부

🥝 토큰의 사용 흐름

🥝 Authentication 인터페이스

Authentication 의 구현체들이 모두 "토큰"이라는 이름의 클래스라는 것을 알 수 있다.
내부적으로 다음과 같은 메소드를 갖는다.
- getAuthorities
- getCredentials
- getDetails
- getPrincipal
- isAuthenticated
- setAuthenticated
우리도 직접 이 인터페이스를 구현해서 새로운 토큰을 생성할 수 있다.

🥝 실제 사용 예

실제로 사용 예인 UsernamePasswordAuthenticationToken 의 사용 코드를 확인해보자.
일단 스프링 시큐리티 설정은 아래처럼만 하고 테스트하자.

@Override
protected void configure(HttpSecurity http) throws Exception {

    http
        .authorizeRequests()
        .anyRequest().authenticated()
        .and()
        .formLogin();
}