스프링부트 게시판 API 만들기 (3) - JSON 로그인 (2) - 시큐리티 로그인 동작원리

 

 

 

 

이번에는 지난 포스팅에 이어서 스프링 시큐리티를 이용하여 로그인을 진행하는 코드를 작성하기 전에 스프링 시큐리티의 로그인 진행방식을 살펴보겠습니다.

이번 포스팅은 조금 길기 때문에, 정신 좀 맑은 상태로 시작하시는걸 추천드립니다.

 

우선 스프링 시큐리티를 설정을 통해, 기본적인 접근 제어와, 스프링 시큐리티에서 제공하는 PasswordEncoder를 등록하도록 하겠습니다.

 

• 시큐리티를 이용한 JSON 데이터로 로그인 (진행 중)
• JWT를 이용한 인증
• 도메인, 테이블 설계, 엔티티 생성
• 회원가입 + 정보수정 등 회원 서비스 제공
• 카테고리별 게시판 분류
• 게시글 페이징
• 1댓글 -> *(무한) 대댓글 구조
• 동적인 검색 조건을 사용한 검색
• 사용자 간 쪽지 기능
• 무한 쪽지 스크롤
• 게시물 & 댓글에 대한 알람
• 쪽지에 대한 알람
• 접속한 사용자 간 실시간 채팅
• 동적인 검색 조건을 사용한 검색
• 회원가입 시 검증(예: XX대학교 XX과가 아니면 가입할 수 없게)
• Swagger를 사용한 API 문서 만들기
• 신고 & 블랙리스트 기능
• AOP
• 사이트 국제화
• 어드민 페이지
• 캐시
• 배포 (+ 무중단 배포)
• 배포 자동화
• 포트와 어댑터 설계를 따르는 패키지 구조 설계하기
• ...

 

 

 

 

 

 

 

 

 

 

 

 

스프링 시큐리티 설정하기

 

패키지 경로는 다음과 같습니다.

 

 

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {


    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http
                .formLogin().disable()//1 - formLogin 인증방법 비활성화
                .httpBasic().disable()//2 - httpBasic 인증방법 비활성화(특정 리소스에 접근할 때 username과 password 물어봄)
                .csrf().disable()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)

                .and()
                .authorizeRequests()
                .antMatchers("/login", "/signUp","/").permitAll()
                .anyRequest().authenticated();

    }

    @Bean
    public PasswordEncoder passwordEncoder(){
        return PasswordEncoderFactories.createDelegatingPasswordEncoder();
    }

}

저희는 json을 통해 로그인을 진행할 것이며, 로그인 이후 refreshToken이 만료되기 전까지는 토큰을 통해 인증을 진행할 것이기에 formLogin, httpBasic을 모두 disable 처리하였고

csrf도 disable

세션은 Stateless(상태를 유지하지 않음)으로 설정해 주었습니다.

 

 

로그인(/login), 회원가입(/signUp), 메인페이지(/)에 대해서는 인증 없이도 접근 가능하게 만들었습니다.

 

 

 

다음으로 살펴볼 것은 PasswordEncoder입니다.

 

 

 

 

 

 

 

PasswordEncoder

PasswordEncoderFactories.createDelegatingPasswordEncoder();

해당 코드를 좀 더 자세히 살펴봅시다

encodingId는 "bcrypt"이고, 이는 BCryptPasswordEncoder와 매핑됩니다.

이후 DelegatingPasswordEncoder의 생성자의 인자로 넘겨줍니다.

 

 

 

 

 

 

 

 

 

생성자에서는 PREFIX와 SUFFIX를 검사합니다. PREFIX는 "{" 이고, SUFFIX는 "}" 이므로 해당되지 않고,

결국 passwordEncoderForEncode로는 BCryptPasswordEncoder를 사용하는 DelegatingPasswordEncoder를 사용합니다.

 

 

 

 

 

참고 - BCrypt

bcrypt는 암호화를 할 때 해시 알고리즘인 SHA-256을 사용합니다.

 

해시 알고리즘은 복호화가 불가능합니다.

즉 DB에 데이터를 저장할 때, Bcrypt로 저장을 한다면 이는 암호화되서 저장되고, 이를 복호화 할 수 있는 방법은 없습니다.

 

가끔 비밀번호 찾기를 하면, 새로운 비밀번호를 입력하거나 임시 비밀번호를 발급받으셨던 기억이 있으실겁니다.

 

이는 비밀번호의 복호화가 불가능하여 사용자가 인증되면 새로운 비밀번호 값을 기존의 있던 값 대신에 사용해야 하기 때문에 그렇습니다.

 

 

비밀번호 일치 여부는요?

(이건 저도 자세히는 모르겠지만 DB에 저장할 때, 어떤 솔트 로직? 을 암호화하여 저장한 후, 이를 통해 비교하는 그런 느낌인거 같으나.. 자세히는 모르겠습니다. 자세히 알고 싶다면 찾아보시는걸 추천드리며, 아무튼 '비밀번호의 비교는 가능하나 복호화는 불가능 하다'는 것만 알고 넘어갔으면 좋겠습니다)

 

 

 

 

 

 

Reference

Spring Password Encoder

 

SHA-256?

 

 

 

 

 

 

 

 

이제 DelegatingPasswordEncoder 에 대해서 알아보겠습니다.

 

 

DelegatingPasswordEncoder의 encode 메서드는 다음과 같습니다

 

encode 메서드의 반환 결과는 다음과 같습니다.

{bcrypt}BCryptPasswordEncoder로 암호화된 문자열

스프링 시큐리티는 '{암호화 방식}암호화된 비밀번호' 형식의 password를 필요로 하기 때문에 다음과 같이 {}로 감싸져서 반환되는 것을 알 수 있습니다.

 

 

 

 

 

여기서 BCryptPasswordEncoder는 어떻게 암호화하는지 알아보겠습니다.

 

BCryptPasswordEncoder의 인증 방식은 다음 코드에 나와있습니다.

getSalt()는 임의의 문자열을 얻어오는 메서드입니다.

 

 

그다음 hashpw는 최종적으로 다음 메서드를 호출합니다.

public static String hashpw(byte passwordb[], String salt) {

   ... 생략

   if (salt == null) {  //임의의 문자열인 salt가 null이라면 예외를 발생시킵니다.
      throw new IllegalArgumentException("salt cannot be null");
   }

   int saltLength = salt.length();//랜덤 문자열의 길이를 구합니다.

   if (saltLength < 28) {//임의의 문자열의 길이가 28글자보다 작을 경우 예외를 발생시킵니다.
   						 //즉 BCryptPasswordEncoder에서 사용하는 salt는 28글자 이상의 임의의 문자열을 필요로 한다는것을 알 수 있습니다.
      throw new IllegalArgumentException("Invalid salt");
   }

   ... 생략
}

주석을 참고해주세요.

 

 

 

이제 비밀번호 암호화가 잘 이루어지는지 확인해보는 테스트코드를 작동하겠습니다.

 

 

 

 

 

 

 

 

비밀번호 암호화 테스트

작성하고 있는 애플리케이션 로직과 관계 없이, 어떠한 라이브러리나 외부 기능을 검증해보기 위해 사용되는 테스트를 학습 테스트라고 합니다. 이를 이용하여 기능에 대한 사용법을 익혀볼 수 있습니다.

 

 

 

learning이라는 패키지를 만들어 테스트를 작성하겠습니다.

 

 

 

 

 

비밀번호 암호화

@Test
public void 패스워드_암호화() throws Exception {
    //given
    String password = "신동훈ShinDongHun";

    //when
    String encodePassword = passwordEncoder.encode(password);

    //then
    assertThat(encodePassword).startsWith("{");
    assertThat(encodePassword).contains("{bcrypt}");
    assertThat(encodePassword).isNotEqualTo(password);

}

BCryptPasswordEncoder로 인코딩된 패스워드는 {bcrypt}를 시작부분에 포함해야 합니다.

 

 

 

 

 

 

 

암호화시 항상 랜덤한 salt를 통한 암호화 -> 항상 다른 결과가 반환

@Test
public void 패스워드_랜덤_암호화() throws Exception {
    //given
    String password = "신동훈ShinDongHun";

    //when
    String encodePassword = passwordEncoder.encode(password);
    String encodePassword2 = passwordEncoder.encode(password);

    //then
    assertThat(encodePassword).isNotEqualTo(encodePassword2);

}

 

 

 

 

 

 

암호화된 비밀번호 매치

@Test
public void 암호화된_비밀번호_매치() throws Exception {
    //given
    String password = "신동훈ShinDongHun";

    //when
    String encodePassword = passwordEncoder.encode(password);

    //then
    assertThat(passwordEncoder.matches(password, encodePassword)).isTrue();

}

 

 

 

 

 

 

 

 

 

 

 

 

 

로그인 진행 방식 - formLogin

이제 시큐리티 필터를 커스텀하기 전에 기본적인 로그인 진행 과정을 알아보기 위해 FormLogin 방식의 과정을 알아보도록 하겠습니다.

 

 

FormLogin을 진행하면 아래와 같은 방식으로 인증(Authentication)이 진행됩니다.

 

 

 

 

 

먼저 /login으로 POST 요청을 보내보겠습니다.

클릭하면 확대됩니다.

해당 요청은 LogoutFilter 이후에 AbstractAuthenticationProcessingFilter를 호출하며, AbstractAuthenticationProcessingFilter에서 인증(Authentication)을 진행합니다.

 

 

 

 

 

 

 

 

조금 더 살펴보겠습니다.

AbstractAuthenticationProcessingFilter.doFilter()

 

4개의 붉은 사각형을 잘 보시면, 먼저 requiresAuthentication를 통해 인증의 필요성을 체크합니다.

 

 

 

 

 

 

로직을 살펴보겠습니다.

requiresAuthentication

requiresAuthenticationRequestMatcher의 matchs를 호출합니다.

 

 

 

 

 

설정되는 requiresAuthenticationRequestMatcher는 다음과 같습니다.

requiresAuthenticationRequestMatcher

얼핏 보니 /login에 대해서, POST로 오는 요청이면 matches에 걸리는 것 같습니다. 

 

 

 

 

 

 

참고로 requiresAuthenticationRequestMatcher로는 AntPathRequestMatcher가 사용됩니다. (디버깅하면 나옵니다)

AntPathRequestMatcher.matches()

 

 

 

 

 

 

 

 

 

 

저희는 /login에 POST 요청을 보냈기에, requiresAuthentication을 통과합니다.

 

다음으로는 attemptAuthentication이 실행되며 Authentication 객체를 반환합니다.

 

attemptAuthentication

attemptAuthentication은 추상 메서드로

AbstractAuthenticationProcessingFilter를 구현한 클래스에서 이를 구현해서 사용하게 됩니다.

 

 

 

 

 

formLogin에서는 어떤 클래스가 사용될까요?

클릭하면 확대됩니다.

UsernamePasswordAuthenticationFilter이 사용됩니다.

 

 

 

 

 

 

 

 

그럼 이제 UsernamePasswordAuthenticationFilter를 조금 자세히 살펴보겠습니다.

public class UsernamePasswordAuthenticationFilter extends AbstractAuthenticationProcessingFilter {

   public static final String SPRING_SECURITY_FORM_USERNAME_KEY = "username";//2
   public static final String SPRING_SECURITY_FORM_PASSWORD_KEY = "password";//2

   private static final AntPathRequestMatcher DEFAULT_ANT_PATH_REQUEST_MATCHER = new AntPathRequestMatcher("/login",
         "POST");//1

   private boolean postOnly = true;

   public UsernamePasswordAuthenticationFilter() {
      super(DEFAULT_ANT_PATH_REQUEST_MATCHER);
   }

   public UsernamePasswordAuthenticationFilter(AuthenticationManager authenticationManager) {
      super(DEFAULT_ANT_PATH_REQUEST_MATCHER, authenticationManager);
   }

   @Override
   public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response)
         throws AuthenticationException {
      if (this.postOnly && !request.getMethod().equals("POST")) {
         throw new AuthenticationServiceException("Authentication method not supported: " + request.getMethod());
      }
      String username = obtainUsername(request);
      username = (username != null) ? username : "";
      username = username.trim();
      String password = obtainPassword(request);
      password = (password != null) ? password : "";
      UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(username, password);//3
      // Allow subclasses to set the "details" property
      setDetails(request, authRequest);
      return this.getAuthenticationManager().authenticate(authRequest);//4
   }

//생략

}

조금 생략하여 가져왔습니다.

 

 

대략적으로 설명하자면 다음과 같습니다.

1. /login 에 POST 방식으로 들어오는 요청에 대해서 작동합니다.
2. username과 password를 파라미터로 가지고 있어야 합니다.
3. username과 password를 가지고 UsernamePasswordAuthenticationToken을 생성합니다.
4. UsernamePasswordAuthenticationToken을 AuthenticationManager의 authenticate()메서드의 인자로서 넘겨주고, 해당 메서드의 반환결과인 Authentication 객체를 반환합니다.

 

 

 

 

 

 

다음은 UsernamePasswordAuthenticationFilter에서 호출하는 AuthenticationManager에 대해 알아보겠습니다.

ProviderManager가 사용됩니다.

 

 

 

ProviderManager는 내부적으로 AuthenticationProvider의 목록을 가지고 있으며,

이들 중 Authentication객체로 들어온 타입을 처리할 수 있는AuthenticationProvider가 있으면

해당AuthenticationProvider의authenticate() 메서드를 실행합니다.

 

 

 

 

아까 전 UsernamePasswordAuthenticationFilter에서 Authentication 으로UsernamePasswordAuthenticationToken를 제공해 주었습니다.

 

 

이는 AbstractUserDetailsAuthenticationProvider가 처리합니다.

더 정확히는 AbstractUserDetailsAuthenticationProvider를 구현한 DaoAuthenticationProvider가 처리합니다

AbstractUserDetailsAuthenticationProvider의 supports() 메서드. UsernamePasswordAuthenticationToken을 처리한다.

 

AbstractUserDetailsAuthenticationProvider의 authenticate 메서드

 

 

 

여기서도 보시면 retrieveUser를 통해 User 정보를 가져오는데, 해당 메서드를 살펴보겠습니다.

protected abstract UserDetails retrieveUser(String username, UsernamePasswordAuthenticationToken authentication)
      throws AuthenticationException;

아까 AbstractAuthenticationProcessingFilter와 비슷하게 구현 클래스에게 메서드의 구현의 책임을 미루었습니다.

 

 

 

 

 

 

 

 

이제 이를 구현한 DaoAuthenticationProvider 를 살펴보겠습니다.

DaoAuthenticationProvider의 retrieveUser

여기서는 UserDetailsService의 loadUserByUsername을 사용하여 사용자 정보를 받아옵니다.

 

 

 

 

그리고 해당 UserDetails 정보를 반환하면 결국 AbstractUserDetailsAuthenticationProvider가 받아옵니다.

 

 

아래는 다시 AbstractUserDetailsAuthenticationProvider의 authenticate 메서드입니다

public Authentication authenticate(Authentication authentication) throws AuthenticationException {
 
 	..생략
 
   String username = this.determineUsername(authentication);
   UserDetails user = this.userCache.getUserFromCache(username);
   if (user == null) {
      cacheWasUsed = false;
      try {
         user = retrieveUser(username, (UsernamePasswordAuthenticationToken) authentication);
      }
      
   ..생략

   Object principalToReturn = user;
   if (this.forcePrincipalAsString) {
      principalToReturn = user.getUsername();
   }
   return createSuccessAuthentication(principalToReturn, authentication, user);
}

AbstractUserDetailsAuthenticationProvider 는 DaoAuthenticationProvider가 반환해준 UserDetails를 사용해서

 

username,
UsernamePasswordAuthenticationToken (메서드의 매개변수로 받아온 authentication 객체를 사용),
Userdetails,

를 가지고 Authentication 객체를 만들어 반환합니다.

(createSuccessAuthentication 메서드 사용)

 

 

 

createSuccessAuthentication()을 보시면

principal은 User,

Authentication은 UsernamePasswordAuthenticationToken인 것을 알 수 있습니다.

그리고 해당 정보를 활용해서 새로운 UsernamePasswordAuthenticationToken 객체를 만들어 리턴합니다.

 

 

 

 

 

이는 AbstractAuthenticationProcessingFilter에 반환되며 이를 가지고 인증 성공과 실패 여부를 따집니다.

 

 

 

 

실패했을 때도 성공했을 때와 비슷하므로 성공하는 요청만 보겠습니다.

 

 

 

성공하면 SecurityContext에 인증 정보인 Authentication 객체를 담고, 

successHandler의 onAuthenticationSuccess 메서드를 반환하면서 인증이 완료됩니다.

(이후 권한을 체크하는 AccessDecisionManager등도 있지만, 우선 로그인을 커스텀하는데는 필요가 없기 때문에 살펴보지 않겠습니다)

 

 

 

정말 길었습니다. 한번 다시 간단하게 요약해보도록 하겠습니다.

 

 

 

 

 

 

 

 

 

 

 

 

로그인 과정 요약

/login, POST로 요청이 들어왔을 경우 (FormLogin 사용 시)

 

 

1. AbstractAuthenticationProcessingFilter의 requiresAuthentication으로 인증을 진행할지에 대한 여부를 판단한다.

 

 

2. 인증을 진행해야 한다면 attemptAuthentication() 메서드가 실행된다.

이는 추상 메서드로 AbstractAuthenticationProcessingFilter을 구현한 UsernamePasswordAuthenticationFilter 에서 처리한다.

 

 

3. UsernamePasswordAuthenticationFilter는 요청에서 username과 password를 꺼내어, UsernamePasswordAuthenticationToken이라는 Authentication 구현체를 만들어

AuthenticationManager의 authenticate()의 메서드를 호출하며, 인자로 넘겨준다.

 

 

4. AuthenticationManager로는 ProviderManager가 사용되며,

내부적으로 가진 여러 Provider중 AbstractUserDetailsAuthenticationProvider의 구현체인 DaoAuthenticationProvider를 사용하여 UsernamePasswordAuthenticationToken에 대한 인증을 진행한다.

 

 

5. DaoAuthenticationProvider는 UserDetailsService의 loadUserByUsername를 통해 유저정보를 받아오고

이는 AbstractUserDetailsAuthenticationProvider까지 반환되어

이곳에서 Authentication객체로 변환되어 다시 반환된다.

이때 최종적으로 반환되는 principal은 User, credentials는 password가 된다.

 

 

6. 이는 AbstractAuthenticationProcessingFilter에 반환되어 인증의 성공여부와 실패여부를 따진다.

성공했을 경우 SecurityContextHolder에 인증 정보(Authentication 객체)를 저장하고 successHander의 성공 메서드를 호출하며 끝난다.

 

 

 

 

 

 

 

 

 

이제 다음과 같은 방식으로 로그인 필터를 커스터마이징 하겠습니다

 

 

AbstractAuthenticationProcessingFilter를 상속받은 Filter를 만들어 인증을 진행하겠습니다.

 

AuthenticationManager로는 스프링과 똑같이 ProviderManager를 사용합니다.

또한 ProviderManager가 가진 Provider 또한 스프링과 동일하게 DaoAuthenticationProvider를 사용하겠습니다.

 

 

UserDetailsService로는 JPA와 연동시킨 LoginService가 상속받아 구현하도록 하겠습니다.

 

MemberService가 아닌 LoginService를 따로 정의한 이유는 Login은 Member의 일반적인 기능보다는 특수한 기능이라 생각하여 역할을 분리시켰습니다. 

(의존성등을 생각하더라도, MemberService는 시큐리티와 의존관계를 맺을 필요가 없다고 생각하여, LoginService로 따로 분리시켰습니다)

 

로그인 성공 시 JWT 토큰을 발급하는 AuthenticationSuccessHandler를 만들겠습니다.

 

 

 

 

 

 

 

 

 

 

 

전체 코드는 깃허브에서 확인하실 수 있습니다.

 

https://github.com/ShinDongHun1/SpringBoot-Board-API

GitHub - ShinDongHun1/SpringBoot-Board-API

 

 

 

 

 

📔 Reference

[Security] OAuht2 로그인 - AccessToken을 가지고 로그인하는 방법 (REST API)(카카오, 네이버, 구글)

 

 

 

 

게시판 참고

스프링부트 게시판 API 서버 만들기 (1) - 프로젝트 생성

 

 

SHA 알고리즘 참고

SHA-256?

 

 

bcrypt 참고

Spring Password Encoder