Spring Security

오늘 배웠는데.. 필터의 느낌으로 설정을 하는거 같은데, 정확히 와닿지가 않아서 구글링해보았습니다.

아래 내용은 해당 링크의 홈페이지 링크를 정리한 것입니다. 그러므로 저의 내용을 읽지않고

해당 링크내용을 읽으셔도 무방합니다. 따라치는 이유는 따라치면서 제가 이해하기 위함입니다.

​

https://mangkyu.tistory.com/76

[SpringBoot] Spring Security란?

대부분의 시스템에서는 회원의 관리를 하고 있고, 그에 따른 인증(Authentication)과 인가(Authorization)에 대한 처리를 해주어야 한다. Spring에서는 Spring Security라는 별도의 프레임워크에서 관련된 기능을..

mangkyu.tistory.com

​

대부분의 System에서는 회원관리를 하고 있고,

그에 따른 인증(Authentication)과 인가(Authorization)에 대한 처리를 해주어야 합니다.

Spring 에서는 Spring Security 라는 별도의 Framework에서 관련된 기능을 제공하고 있습니다.

​

1. Spring Securty

1) Spring 기반의 애플리케이션의 보안(인증과 권한, 인간 등)을 담당하는 스프링 하위 프레임워크

2) '인증'과 '권한'에 대한 부분을 Filter 흐름에 따라 처리

3) Filter 는 Dispatcher Servlet 으로 가기 전에 적용되므로 가장 먼저 URL 요청을 받지만,

Interceptor 는 Dispatcher 와 Controller 사이에 위치한다는 점에서 적용시기의 차이가 있다.

4) 보안과 관련홰서 체계적으로 많은 옵션을 제공해주기 때문에 개발자 입장에서는

일일이 보안 관련 로직을 작성하지 않아도 된다.

인증관련 Architecture

​

2. 인증(Authorization)과 인가(Authentication)

1) 인증 : 해당 사용자가 본인이 맞는지를 확인하는 절차

2) 인가 : 인증된 사용자가 요청한 자원에 접근 가능한지를 결정하는 절차

Spring 에서는 인증 절차 거친 후 인가 절차 진행

3) 인가과정에서 해당 리소스에 대한 접근 권한이 있는지 확인을 한다.

4) Spring Security 에서는 이러한 인증과 인가를 위해

Principal(접근주체, 보호받는 Resource에 접근하는 대상) 을 ID로

Credential(비밀번호, Resource에 접근하는 대상의 비밀번호)을 비밀번호로 사용하는

Credential 기반의 인증방식을 사용한다.

​

3. Spring Security 모듈

Spring Security 주요 모듈

1) SecurityContextHolder

(1) 보안 주체의 세부 정보를 포함하여 응용프로그램의 현재 보안 컨텍스에 대한 세부 정보가 저장된다.

(2) 기본적으로 SecurityContextHolder.MODE_INHERITABLETHREADLOCAL 방법과

SecurityContextHolder.MODE_THREADLOCAL 방법을 제공한다.

​

2) SecurityContext

(1) Authentication(인증)을 보관하는 역할, SecurityContext를 통해 Authentication 객체를 꺼내온다.

​

3) Authenticaiton(인증)

(1) 현재 접근하는 주체의 정보와 권한을 담는 인터페이스

(2) Authentication 객체는 Security Context에 저장되며, SecurityContextHolder 를 통해

SecurityContext에 접근하고, SecurityContext를 통해 Authentication에 접근할 수 있다.

​

4) UsernamePasswordAuthenticationToken

(1) Authentication을 implements 한 AbstractAuthenticationToken의 하위 클래스

(2) User 의 ID 가 Principal 역할을 하고, Password 가 Credential 의 역할을 한다.

(3) UsernamePasswordAuthenticationToken의 첫번째 생성자는 인증 전의 객체를 생성하고

두번째 생성자는 인증이 완료된 객체를 생성한다.

​

5) AuthenticationProvider

(1) 실제 인증에 대한 부분을 처리, 인증 전의 Authentication 객체를 받아 인증이 완료된 객체로 반환

​

6) Authentication Manager

(1) 인증에 대한 부분은 SpringSecurity의 AuthenticationManager를 통해서 처리하게 되는데,

실질적으로는 AuthenticationManager에 등록된 AuthenticationProvider 에 의해 처리

(2) 인증이 성공하면 2번째 생성자를 이용해 인증이 성공한(isAuthenticated=true) 객체를 생성하여

Security Context에 저장한다.

(3) 인증 상태를 유지하기 위해 세션에 보관하며, 인증이 실패한 경우에는 AuthenticationException 발생

(4) AuthenticationManager를 implements한 ProviderManager는 실제 인증 과정에 대한 로직을 가지고

있는 Authentication Provider 를 List로 가지고 있으며, ProvidierManager는 for문을 통해 모든

provider를 조회하면서 authenticate 처리를 한다.

​

7) UserDetails

(1) 인증에 성공하여 생성된 UserDetails 객체는 Authentication 객체를 구현한

UsernamePasswordAuthenticationToken을 생성하기 위해 사용된다.

​

8) UserDetailsService

(1) UserDetails 객체를 반환하는 단 하나의 메소드를 가지고 있는데, 일반적으로 이를 구현한 클래스의 내부에

UserRepository를 주입받아 DB와 연결하여 처리한다.

​

9) Password Encoding

(1) AuthenticationManagerBuilder.userDetailsService().passwordEncoder()를 통해

패스워드 암호화에 사용될 PasswordEncoder 구현체를 저장할 수 있다.

​

10) GrantedAuthority

(1) 현재 사용자(principla)가 가지고 있는 권한을 의미

(2) ROLE_ADMIN 나 ROLE_USER 와 같이 ROLE_*의 형태로 사용하며, 보통 "roles"라고 표현

(3) GrantedAuthority 객체는 UserDetailsService 에 의해 불러올 수 있고, 특정 자원에 대한 권한이

있는지를 검사하여 접근 허용 여부를 결정

​

아직 학원에서 이제 개념초입단계라서 어떤 클래스가 있는지는 잘 모르지만,

보안에 관련한 프레임워크이고, 이를 잘 사용하기 위해서는 개념이해가 필요할 듯 합니다.

​