회원 도메인 개발과 JWT 인증/인가 처리

라모스·2022년 4월 4일

2022 캡스톤디자인

목록 보기

1/2

Spring Security, JWT

인증은 당신이 누구냐에 대한 것이다. 인가는 당신이 내 집에서 할 수 있는 것들, 즉 사용할 수 있는 자원을 정의한다. Spring Security는 애플리케이션의 보안(인증과 권한, 인가 등)을 담당하는 스프링 하위 프레임워크이다.

이번 캡스톤디자인 프로젝트에서 만들게 될 플랫폼 서비스는 기본적으로 회원 도메인이 들어가는 서비스이기에 이에 대한 인증/인가 처리를 유연하게 할 수 있도록 Spring Security를 활용하고자 하였다.

또한 Frontend와 Backend가 분리된 구조로 팀 프로젝트를 진행하기 때문에, 다양한 방법 중 JWT Token 인증/인가 방식으로 회원가입/로그인 로직을 구현하였다.
// JWT 방식에 대한 자세한 사항은 다른 포스팅으로 게시할 예정

// 이미지 출처: jwt.io

구현했던 주요 로직은 다음과 같다.

Email(ID)/Password 로그인 시도
Email(ID)/Password 검증 후 Access Token, Refresh Token 발급
API 요청 시 HTTP Header Authorization에 Access Token을 담아 요청
API 응답 또는 Access Token 만료 응답 보내줌
Access Token 만료 시 Request Body에 Access Token, Refresh Token을 담아 재발급 요청
토큰 검증 후 새로운 Access Token, Refresh Token을 발급

Backend 패키지 구조

전체적인 패키지 구조는 다음과 같다. 현재는 member 도메인과 모든 도메인에 공통적으로 들어갈 전체적인 뼈대만 작업했기 때문에 요구사항 변경 시 내부 내용물들은 바뀔 수도 있다.

WaitForm
├── src       
│   ├── domain  # 각 도메인의 내부 구조는 같다.
│        ├── member
│            ├── controller
│            ├── service
│            ├── repository
│            ├── exception
│            ├── entity
│            └── dto
│        ├── board
│        ├── chatting
│        └── like
│   └── global
│        ├── config
│             ├── jwt  # JWT 설정 클래스들
│             └── SecurityConfig.java, 기타 설정 클래스들
│        ├── error  # 전역적인 Exception Handling을 위한 클래스들
│        └── result # 응답 데이터 통합을 위한 클래스들
│   └── test  # Test Code
└──

JWT와 Security 설정

JWT를 적용하기 위한 큰 틀은 이 방법이 무조건 정답은 아니겠지만, 구글링했던 결과들을 종합하면 가장 나은 방법이라 생각했었다. 세부적인 코드는 크게 공개하지 않고 각 클래스들이 어떤 역할을 하는지만 언급하고 넘어가겠다.
// 정은구님의 Inflearn 강의 Spring Boot JWT Tutorial를 참고하자.

JWT 관련

TokenProvider: 유저 정보로 JWT 토큰을 만들거나 토큰을 바탕으로 유저 정보를 가져온다.
JwtFilter: Spring Request 앞단에 붙일 Custom Filter

Spring Security 관련

JwtSecurityConfig: JWT Filter를 추가
JwtAccessDeniedHandler: 접근 권한 없을 때 403 에러 반환
JwtAuthenticationEntryPoint: 인증 정보 없을 때 401 에러 반환
SecurityConfig: 스프링 시큐리티에 필요한 설정
SecurityUtil: SecurityContext에서 전역으로 유저 정보를 제공하는 유틸 클래스

이 중 TokenProvider, SecurityConfig만 요약하자면 다음과 같다.

TokenProvider

JWT Token에 관련된 암호화, 복호화, 검증 로직은 모두 이 클래스에서 이루어진다.

generateTokenDto
- 유저 정보를 넘겨받아 Access Token과 Refresh Token을 생성
- 넘겨받은 유저 정보의 authentication.getName()이 username을 가져온다.
- Access Token에는 유저와 권한 정보를 담고 Refresh Token에는 아무 정보도 담지 않는다.
getAuthentication
- JWT 토큰을 복호화하여 토큰에 들어있는 정보를 꺼낸다.
- Access Token에만 유저 정보를 담기에 accessToken을 파리미터로
- Refresh Token에는 만료일자만 담는다.
validateToken
- 토큰 정보를 검증
- Jwts 모듈이 알아서 Exception을 던져준다.

SecurityConfig

package me.ramos.WaitForm.global.config;

import lombok.RequiredArgsConstructor;
import me.ramos.WaitForm.global.config.jwt.JwtAccessDeniedHandler;
import me.ramos.WaitForm.global.config.jwt.JwtAuthenticationEntryPoint;
import me.ramos.WaitForm.global.config.jwt.JwtSecurityConfig;
import me.ramos.WaitForm.global.config.jwt.TokenProvider;
import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.CorsConfigurationSource;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;

@EnableWebSecurity
@RequiredArgsConstructor
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private final TokenProvider tokenProvider;
    private final JwtAuthenticationEntryPoint jwtAuthenticationEntryPoint;
    private final JwtAccessDeniedHandler jwtAccessDeniedHandler;

    // Swagger 3.x 설정
    private static final String[] PERMIT_URL_ARRAY = {
            /* swagger v2 */
            "/v2/api-docs",
            "/swagger-resources",
            "/swagger-resources/**",
            "/configuration/ui",
            "/configuration/security",
            "/swagger-ui.html",
            "/webjars/**",
            /* swagger v3 */
            "/v3/api-docs/**",
            "/swagger-ui/**"
    };

    @Bean
    public BCryptPasswordEncoder bCryptPasswordEncoder() {
        return new BCryptPasswordEncoder();
    }

    // CORS 설정
    @Bean
    public CorsConfigurationSource configurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();

        configuration.addAllowedOriginPattern("*");
        configuration.addAllowedHeader("*");
        configuration.addAllowedMethod("*");
        configuration.setAllowCredentials(true);
        configuration.setMaxAge(3600L);

        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);

        return source;
    }

    @Override
    public void configure(WebSecurity web) throws Exception {
        web
                .ignoring()
                .antMatchers("/h2-console/**");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS);
        http
                .logout()
                .disable();

        http
                .cors().configurationSource(configurationSource())
                .and()
                .csrf().disable()

                // exceptionHandling customizing
                .exceptionHandling()
                .authenticationEntryPoint(jwtAuthenticationEntryPoint)
                .accessDeniedHandler(jwtAccessDeniedHandler)

                .and()
                .authorizeRequests()
                .antMatchers("/", "/auth/login", "/auth/signup").permitAll()
                .antMatchers(PERMIT_URL_ARRAY).permitAll()
                .anyRequest().authenticated()

                // JwtFilter를 addFilterBefore로 등록했던 JwtSecurityConfig를 등록
                .and()
                .apply(new JwtSecurityConfig(tokenProvider));
    }
}