SPRING/Security

Spring Security 전체 필터의 흐름 (필터 체인의 순서가 고정되어 있음) ## 필터 체인 순서 요약 ===요청/응답 전처리, URL/헤더/세션/CSRF===============1. DisableEncodeUrlFilter 2. WebAsyncManagerIntegrationFilter 3. SecurityContextPersistenceFilter4. HeaderWriterFilter 5. CorsFilter 6. CsrfFilter 7. LogoutFilter===인증 처리 (폼, JWT, OAuth2 등)====================8. [JwtAuthenticationFilter] ← (커스텀 필터) (UsernamePasswordAuthenticationFilter 전) 9. ..

지난번 🔎JWT 기본구조 알아보기 에서 JWT의 구성요소를 살펴보았다.JWT 토큰 생성 코드를 공부 중 의문이 드는 부분이 있어 기록을 남기려 한다. JWT의 payload(claims)에 들어가는 정보는 크게 3가지로 분류된다. 등록된 클레임(Registered Claims - 표준으로 정해진 클레임)공개 클레임(Public Claims- 구현자 마음대로 만드는 클레임)비공개 클레임(Private Claims - 특정 서비스끼리 약속한 클레임) 아래 토큰 생성 코드에서 Claims 객체 안에는 Payload가 들어간다.payload정보는 위에서 언급했듯, 등록된 클레임, 공개 클레임, 비공개 클레임이 있는데, jwt 토큰 생성시 claims 안에 직접적으로 subject와 roles를 담고, iat..

JWT(Jason Web Token)당사자 간에 정보를 JSON 형태로 안전하게 전송하기 위한 토큰URL로 이용할 수 있는 문자열로만 구성 → HTTP 구성요소 어디든 위치할 수 있음디지털 서명이 적용돼 있어 신뢰할 수 있음 JWT의 구조점(.)으로 구분된 아래의 세 부분으로 구성헤더(Header)내용(Payload)서명(Signature)xxxxx . yyyyy . zzzzz 헤더 내용 서명 📌 헤더검증과 관련된 내용alg, typ 속성을 포함Base64Url 형식으로 인코딩 돼 사용 ✔️ alg해싱 알고리즘 지정 - 보통 SHA256, RSA 사용토큰을 검증할 때 사용되는 서명 부분에서 사용{ "alg": "H256", //HMAC SHA256 알고리즘을 사용한다는 의미 ..

🐣 사전 지식인증(Authentication) : 사용자가 누구인지 확인하는 단계 (ex: 로그인)인가(Authorization): 리소스 접근 권한을 확인접근주체(principal) : 애플리케이션의 기능을 사용하는 주체스프링 시큐리티애플리케이션의 인증, 인가 등의 보안 기능을 제공하는 스프링 하위 프로젝트 중 하나서블릿 필터 기반 동작 시큐리티 필터체인이 실행되는 과정 ApplicationFilterChain 부분을 자세히 살펴보자.DelegatingFilterProxy스프링 시큐리티에서 사용하고자 하는 필터체인을 끼워넣기 위해 사용하는 proxy서블릿 컨테이너 생명주기와 스프링 애플리케이션 컨텍스트 사이에서 다리 역할을 수행하는 필터 구현체 클라이언트가 요청을 보내면 서블릿 컨테이너(ex: ..

🚀 Trouble Shooting 사전지식으로 먼저 Jackson이 JSON과 JAVA 객체를 변환하는 방식에 대해 이해하고 넘어가자.Jackson은 객체를 JSON으로 직렬화하거나, JSON을 객체로 역직렬화할 때 다음과 같이 동작한다.✔️ 직렬화(객체 → JSON)객체의 getter 메서드 또는 public 필드를 읽어서 JSON 문자열로 변환✔️ 역직렬화(JSON → 객체)JSON 데이터를 바탕으로 객체를 새로 생성해야 함기본적으로 Jackson은 기본 생성자 + setter 또는 @JsonProperty를 사용해서 필드를 채움 📌 문제 상황과 원인 파악(로그인 동작 과정에서)Redis에 저장된 session 데이터를 쉽게 확인하기 위해 Redis 직렬화를 JSON으로 설정하려할 때 역직렬화..

학습 목표1. JWT 를 스프링 시큐리티에 적용하여 인증 인가 처리하는 방법 이해하기2. 정규표현식 이해하기1. 스프링 시큐리티 : JWT 로그인스프링 시큐리티에서 기본적으로 제공하는 세션방식이 아니라 JWT를 어떻게 시큐리티에 적용할 수 있을까? JWT는 스프링 시큐리티의 기본 인증 방식과 다르게 동작하기 때문에, 스프링 시큐리티의 기본 동작을 커스텀해야 한다. 🔍 그렇다면 Spring Security의 어떤 부분을 왜 커스텀하는 걸까? Spring Security는 기본적으로 세션/폼 기반 인증을 제공한다. 사용자가 HTML 폼에 아이디와 비밀번호를 입력하고 서버에 제출하면, Spring Security가 이 폼 데이터를 받아서 인증을 처리하는 방식이다.를 JWT(JSON Web Token)는 A..