[심화] 12. Spring Security 세션 인증

SecurityConfig

package com.metacoding.securityapp1.core;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.web.SecurityFilterChain;

// 예: localhost:8080/user/asdasd, localhost:8080/user/join-form
@Configuration // 이 클래스는 스프링 설정 클래스임을 명시 (빈 등록 용도)
public class SecurityConfig {

    // 비밀번호 암호화를 위한 단방향 해시 함수 (회원가입/로그인 시 사용)
    @Bean
    public BCryptPasswordEncoder encodePwd() {
        return new BCryptPasswordEncoder();
    }

    @Bean // SecurityFilterChain을 빈으로 등록하여 보안 설정을 적용함
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {

        // H2 Console은 iframe으로 동작하므로, 기본적으로 막혀있는 iframe을 sameOrigin으로 허용함
        http.headers(headers -> headers.frameOptions(frameOptions -> frameOptions.sameOrigin()));

        // CSRF 보호 기능 비활성화 (개발/테스트용. 실서비스에서는 활성화 권장)
        http.csrf(configure -> configure.disable());

        // 폼 로그인 방식 설정
        http.formLogin(form -> form
                .loginPage("/login-form")           // 로그인 페이지 URL (GET). 사용자가 인증 안 됐을 때 여기로 이동함
                .loginProcessingUrl("/login")       // 로그인 처리 URL (POST). 컨트롤러 없이도 Spring Security가 자동으로 인증 처리
                .defaultSuccessUrl("/main")         // 로그인 성공 후 이동할 기본 페이지
        );

        // 요청 URL별 인가 설정
        http.authorizeHttpRequests(
                authorize -> authorize
                        .requestMatchers("/main").authenticated() // 로그인만 되어 있으면 접근 가능
                        .requestMatchers("/user/**").hasRole("USER") // USER 권한 있어야 접근 가능
                        .requestMatchers("/admin/**").hasRole("ADMIN") // ADMIN 권한 있어야 접근 가능
                        .anyRequest().permitAll() // 그 외 모든 요청은 인증 없이 접근 허용
        );

        return http.build(); // 구성된 보안 필터 체인 객체를 반환
    }
}

1. 스프링 시큐리티란?

주요 기능:

• 로그인(인증) 처리

• 권한(인가) 체크

• 세션 관리

• CSRF/XSS 방어

• 다양한 인증방식 지원: Form Login, HTTP Basic, JWT, OAuth2 등

🔐 인증 vs 인가

2. 스프링 시큐리티 필터 체인

🔄 필터 체인 구조

[사용자 요청]
      ↓
[서블릿 필터]
      ↓
[DelegatingFilterProxy]
      ↓
[SecurityFilterChain]
      ├─ UsernamePasswordAuthenticationFilter
      ├─ BasicAuthenticationFilter
      ├─ ExceptionTranslationFilter
      ├─ FilterSecurityInterceptor
      └─ ...

필터는 순차적으로 실행되며, 인증/인가 처리, 예외 처리 등을 담당함.

3. 프록시 패턴과 Spring Security

4. 인증과 인가 로직 (Form Login 흐름)

🔑 Form Login 흐름 요약

scss
복사편집
[POST /login 요청]
    ↓
[UsernamePasswordAuthenticationFilter]
    ↓ (성공 시)
[SecurityContextHolder.setAuthentication()]
    ↓
[세션 저장]

• 인증 실패 시 → 다시 /login-form으로 이동

• 인증 성공 시 → Authentication 객체가 세션에 저장됨

폼 로그인을 사용하는 경우 UsernamePasswordAuthenticationFilter가 동작함

HTTP Basic 인증을 사용할 경우 BasicAuthenticationFilter가 동작 (동시에 둘 다 사용 불가)

5. 주요 필터 종류 정리

6. FormLogin vs HTTP Basic

Form Login 구성 예시

java
복사편집
http.formLogin(form -> form
    .loginPage("/login-form")
    .loginProcessingUrl("/login")
    .defaultSuccessUrl("/main")

1. /login-form: 로그인 페이지
2. /login (POST): 시큐리티가 가로채서 로그인 처리
3. 성공 시: /main 이동

HTTP Basic 구성 예시

http.httpBasic(); // 브라우저에서 ID/PW 팝업 뜸

7. JWT 기반 로그인 (간단 요약)

강제로 인증 객체 삽입하기

User user = User.builder().id(id).role(role).build();
MyUserDetails myUserDetails = new MyUserDetails(user);

Authentication authentication =
    new UsernamePasswordAuthenticationToken(
        myUserDetails,
        myUserDetails.getPassword(),
        myUserDetails.getAuthorities()
    );

SecurityContextHolder.getContext().setAuthentication(authentication);

🔗 참고 자료

• GitHub (SSR 방식): https://github.com/codingspecialist/Springboot-Security/tree/ssr-topic

• GitHub (CSR/JWT 방식): https://github.com/codingspecialist/Springboot-Security/tree/csr-topic

• 공식문서: https://docs.spring.io/spring-security/reference/servlet/architecture.html

• 토리맘 블로그: https://godekdls.github.io/Spring%20Security/servletsecuritythebigpicture/

✅ SecurityContextHolder란?

한 줄 정의:

인증 객체(Authentication)를 저장하고 관리하는 ThreadLocal 기반의 보안 컨텍스트 저장소

🧠 작동 원리 요약

인증 흐름 중 이 위치에서 등장:

1. 로그인 요청 (POST /login)
    ↓
2. UsernamePasswordAuthenticationFilter
    ↓
3. 로그인 성공 시 Authentication 객체 생성
    ↓
✅ SecurityContextHolder.getContext().setAuthentication(authentication)
    ↓
4. SecurityContext가 세션에 저장됨

• 이렇게 저장된 Authentication은 이후 모든 요청에서 다시 꺼내서 사용됨

• 꺼내는 방식:

Authentication auth = SecurityContextHolder.getContext().getAuthentication();

🔐 내부 구조 요약

SecurityContextHolder
    → SecurityContext (보안 컨텍스트)
        → Authentication (인증 정보)
            → Principal (사용자 정보)
            → Credentials (비밀번호)
            → Authorities (권한 목록)

📦 왜 ThreadLocal 기반인가?

• 사용자 요청은 스레드마다 독립적으로 처리됨

• 그래서 로그인 정보(인증 정보)를 ThreadLocal로 담아두면
하나의 사용자 요청이 처리되는 동안 안전하게 인증 정보를 사용할 수 있음

✅ 로그인 후 인증 객체 접근 예시

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
String username = authentication.getName(); // 로그인한 username
Collection<? extends GrantedAuthority> roles = authentication.getAuthorities();

📌 한 줄 요약

🔄 그림으로 전체 요청 흐름 요약

[POST /login]
    ↓
[UsernamePasswordAuthenticationFilter]
    ↓
[Authentication 생성 성공]
    ↓
[SecurityContextHolder.setContext(인증 정보)]
    ↓
[세션에 SecurityContext 저장]
    ↓
[다음 요청부터 SecurityContextHolder.getContext()로 인증 정보 꺼냄]

🌐 전체 요청 처리 흐름 요약 (Spring MVC + Spring Security)

[사용자 요청 (URL 입력)]
   ↓
[WAS (Tomcat)]
   ↓
[Spring Security Filter Chain]  ← 인증/인가 필터들
   ↓
[DispatcherServlet (DS)]       ← 요청의 핵심 분기 처리
   ↓
[HandlerMapping]               ← 어떤 Controller 메서드가 호출될지 결정
   ↓
[Controller]                   ← 요청 처리 시작
   ↓
[Service]                      ← 비즈니스 로직 처리
   ↓
[Repository]                   ← DB 연산 (JPA, MyBatis 등)
   ↓
[Database]                     ← 실제 데이터 저장/조회
   ↓
[응답 생성 → JSON / View 등]
   ↓
[DispatcherServlet]
   ↓
[WAS → 사용자에게 HTTP 응답 전송]

BasicAuthentication