[Security] Spring Security - OAuht2 로그인 작동원리

요즘은 OAuth2를 사용하여 소셜 로그인을 통해 가입이 가능한 서비스들이 굉장히 많다.

스프링 시큐리티에서도 OAuth2를 이용한 소셜 로그인 방식을 지원하는데, 필자는 맨 처음 이를 사용할때 너무 어려웠었다. 

지금부터 시큐리티에서 OAuht2가 어떻게 동작하는지 알아보자.

 

 

 

의존성 관리

우선 OAuth2를 사용하려면 OAuth2-client 라이브러리를 이용해야 한다.

build.gradle 에 다음을 추가하자.

implementation 'org.springframework.boot:spring-boot-starter-oauth2-client'

 

 

 

 

 

oauth2Login() 의 작동방식

WebSecurityConfigurerAdapter 를 상속받은 Security Config 파일에서 oauth2 로그인을 사용하기 위해서는 다음과 같이 설정해준다.

@RequiredArgsConstructor
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

	...
  
    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http
                .oauth2Login();

    }

}

oauth2Login()을 위와같이 활성화 시켜줌으로써 사용할 수 있는데 이제 한번 코드를 살펴보자.

 

 

 

 

 

 

OAuth2LoginConfigurer

oauth2Login()을 활성화 시키면 OAuth2LoginConfigurer가 활성화된다.

OAuth2LoginConfigurer

AbstractAuthenticationFilterConfigurer를 상속받으며, Filter로는 OAuth2LoginAuthenticationFilter를 사용한다.

 

AbstractAuthenticationFilterConfigurer를 상속받은 Configurer 중에는 Form로그인 처리를 할 때 사용하는 FormLoginConfigurer도 있다. (formLogin()으로 활성화 시킬 수 있다.)

 

 

 

 

 

 

 

요청시 처리 흐름

도메인/oauth2/authorization/{아무거나} 를 입력하여 요청을 보냈다고 가정하자. (필자는 /oauth2/authorization/dd 로 요청을 보냈다.)

 

디버깅을 해보자!

처음으로 OAuth2관련된 필터가 적용되는 것이 OAuth2AuthorizationRequestRedirectFilter이다.

OAuth2AuthorizationRequestRedirectFilter의 코드를 살펴보자

 

 

 

 

 

 

OAuth2AuthorizationRequestRedirectFilter

public class OAuth2AuthorizationRequestRedirectFilter extends OncePerRequestFilter {

   /**
    * The default base {@code URI} used for authorization requests.
    */
   public static final String DEFAULT_AUTHORIZATION_REQUEST_BASE_URI = "/oauth2/authorization";

   private final ThrowableAnalyzer throwableAnalyzer = new DefaultThrowableAnalyzer();

   private final RedirectStrategy authorizationRedirectStrategy = new DefaultRedirectStrategy();

   private OAuth2AuthorizationRequestResolver authorizationRequestResolver;

   private AuthorizationRequestRepository<OAuth2AuthorizationRequest> authorizationRequestRepository = new HttpSessionOAuth2AuthorizationRequestRepository();

   private RequestCache requestCache = new HttpSessionRequestCache();

   ...
 	
   @Override
   protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
         throws ServletException, IOException {
      try {
         OAuth2AuthorizationRequest authorizationRequest = this.authorizationRequestResolver.resolve(request);
         if (authorizationRequest != null) {
            this.sendRedirectForAuthorization(request, response, authorizationRequest);
            return;
         }
      }
      catch (Exception ex) {
         this.unsuccessfulRedirectForAuthorization(request, response, ex);
         return;
      }
      ...
      }

}

중요한 부분은 다음과 같다.

OAuth2AuthorizationRequestRedirectFilter의 인증 기본 URI

/oauth2/authorization으로 들어오는 요청에 대해서 이 필터가 작동한다는것을 알 수 있다.

 

 

요청 시 작동

필자는 http://localhost:8080//oauth2/authorization/dd로 요청을 보냈고, 따라서 OAuth2AuthorizationRequestRedirectFilter의 doFilterInternal()이 작동한다.

 

여기서 this.authorizationRequestResolver는 OAuth2AuthorizationRequestResolver객체이며, 이때 실행되는 OAuth2AuthorizationRequestResolver는 DefaultOAuth2AuthorizationRequestResolver 이다. (사실 이거 하나밖에 구현체가 없다.)

 

DefaultOAuth2AuthorizationRequestResolver  실행

우선 DefaultOAuth2AuthorizationRequestResolver의 중요한 코드를 살펴보도록 하자.

 

 

 

 

 

DefaultOAuth2AuthorizationRequestResolver

public final class DefaultOAuth2AuthorizationRequestResolver implements OAuth2AuthorizationRequestResolver {

   private static final String REGISTRATION_ID_URI_VARIABLE_NAME = "registrationId";
   private static final char PATH_DELIMITER = '/';
   
   private final ClientRegistrationRepository clientRegistrationRepository;
   private final AntPathRequestMatcher authorizationRequestMatcher;
   
   private final StringKeyGenerator stateGenerator = new Base64StringKeyGenerator(Base64.getUrlEncoder());
   private final StringKeyGenerator secureKeyGenerator = new Base64StringKeyGenerator(
         Base64.getUrlEncoder().withoutPadding(), 96);

   ...

   public DefaultOAuth2AuthorizationRequestResolver(ClientRegistrationRepository clientRegistrationRepository,
         String authorizationRequestBaseUri) {
      ...
      this.clientRegistrationRepository = clientRegistrationRepository;
      this.authorizationRequestMatcher = new AntPathRequestMatcher(
            authorizationRequestBaseUri + "/{" + REGISTRATION_ID_URI_VARIABLE_NAME + "}");
   }

   @Override
   public OAuth2AuthorizationRequest resolve(HttpServletRequest request) {
      String registrationId = this.resolveRegistrationId(request);
      if (registrationId == null) {
         return null;
      }
      String redirectUriAction = getAction(request, "login");
      return resolve(request, registrationId, redirectUriAction);
   }


   private OAuth2AuthorizationRequest resolve(HttpServletRequest request, String registrationId,
         String redirectUriAction) {
      if (registrationId == null) {
         return null;
      }
      ClientRegistration clientRegistration = this.clientRegistrationRepository.findByRegistrationId(registrationId);
      if (clientRegistration == null) {
         throw new IllegalArgumentException("Invalid Client Registration with Id: " + registrationId);
      }
      Map<String, Object> attributes = new HashMap<>();
      attributes.put(OAuth2ParameterNames.REGISTRATION_ID, clientRegistration.getRegistrationId());
      OAuth2AuthorizationRequest.Builder builder = getBuilder(clientRegistration, attributes);

      String redirectUriStr = expandRedirectUri(request, clientRegistration, redirectUriAction);
		
      ...

   }

   
   private String resolveRegistrationId(HttpServletRequest request) {
      if (this.authorizationRequestMatcher.matches(request)) {
         return this.authorizationRequestMatcher.matcher(request).getVariables()
               .get(REGISTRATION_ID_URI_VARIABLE_NAME);
      }
      return null;
   }


}

 

우선 생성자를 살펴보자

DefaultOAuth2AuthorizationRequestResolver 생성자

(잘 안보이므로, 사진을 클릭하여 확대해서 보자.)

 

- authorizationRequestBaseUri

authorizationRequestBaseUri는 OAuth2AuthorizationRequestRedirectFilter의 DEFAULT_AUTHORIZATION_REQUEST_BASE_URI (=/oauth2/authorization)를 받아오며, 이를 사용해

authorizationRequestMatcher를 세팅한다.

(authorizationRequestMatcher = /oauth2/authorization/{registrationId})

 

 

 

 

 

- ClientRegistrationRepository

ClientRegistrationRepository는 최초 애플리케이션 실행 시 properties파일 혹은 yml 파일에 존재하는 oauth2의 설정을 통해 registrationId를 ClientRegistrationRepository에 저장시켜 놓고, 그것을 주입한다.

 

 

 

 

 

 

[참고]

google 등과 같이 스프링 시큐리티에서 제공하는 서비스의 경우에는 registration으로 등록하기 위해서는

아래와 같이 client-id만 기본적으로 설정하면 등록된다(client-secret 등이 존재하는 경우 추가해주어야 함)

 

만약 시큐리티에서 기본적으로 제공하는 서비스가 아닌 경우(예를 들어 카카오) 다음과 같이 등록해주면 된다.

kakao 설정 - application.propertues

추가로 registration를 등록하고 싶다면 아래와 같이 5개의 설정은 필수적으로 필요하며, 추가 정보(token-uri 등)가 필요한 경우 위의 kakao 예시와 같이 등록해주면 된다. (아래에서 보여지는 5가지 설정은 하나라도 빠질경우 예외가 발생함.)

임의의 registrationId 등록 - application.propertues

참고 - 시큐리티에서 기본적으로 제공하는 oauth2 client

package org.springframework.security.config.oauth2.client;

public enum CommonOAuth2Provider {

   GOOGLE {
      ...
   },
   GITHUB {
   	 ...
   },
   FACEBOOK {
	...
      }
   },

   OKTA {
	...
   };
   private static final String DEFAULT_REDIRECT_URL = "{baseUrl}/{action}/oauth2/code/{registrationId}";
   ...

}

Google, Github, Facebook, Okta가 있다.

registrationId를 통해 Builder를 생성하여 반환한다.

 

 

 

 

 

 

요청이 들어온 경우

필자는 /oauth2/authorization/dd 로 요청을 보냈다고 했었다.

요청이 들어오면 위에서 살펴본 바와 같이 OAuth2AuthorizationRequestRedirectFilter가 작동하여 DefaultOAuth2AuthorizationRequestResolver의 resolve를 호출하는데, 이제 resolve 코드를 살펴보자.

DefaultOAuth2AuthorizationRequestResolver.resolve()

this.resolveRegistrationId()를 호출한다. 

DefaultOAuth2AuthorizationRequestResolver.resolveRegistrationId()

resolveRegistrationId() 는 this.authorizationRequestMatcher의 matches를 호출한다. 

아까 살펴봤듯이, authorizationRequestMatcher에는 /oauth2/authorization/{registrationId}가 들어있으며, 결국 들어온 요청이 /oauth2/authorization/{registrationId} 인 경우 if문의 조건에 해당되므로 다음 코드가 실행된다.

this.authorizationRequestMatcher.matcher(request).getVariables()
      .get(REGISTRATION_ID_URI_VARIABLE_NAME);

위의 코드의 실행 결과로 /oauth2/authorization/{registrationId} 에서 registrationId만 추출되고 이를 반환한다.

 

 

 

다시 resolve로 돌아가면, registrationId를 추출 이후 마지막에 아래 코드가 실행되는 것을 알 수 있다.

return resolve(request, registrationId, redirectUriAction);

resolve() 에서 마지막으로 return resolve(request, registrationId, redirectUriAction); 실행

 

이제 resolve(request, registrationId, redirectUriAction); 코드를 살펴보자.

clientRegistrationRepository에는 우리가 properties파일 혹은 yml 파일에서 설정한 registration 정보가 들어있으며, 이때 위(resolve(HttpServletRequest request))에서 추출한 registrationId 를 통해 찾아와서, 만약 등록된 registration이 있다면 로직을 진행하고 없다면 예외를 발생시킨다.

 

필자는 등록하지 않은 dd로 요청을 보냈기에 에러가 발생하여 튕기는 것을 알 수 있다.

 

 

 

 

 

성공적인 요청 시 흐름

그럼 이제 Google을 통해 로그인을 진행해 보도록 하자. (/oauth2/authorization/google)

(Application.properties 파일에, 아래와 같이 등록해 주었기 때문에 google로 사용 가능하다)

Application.properties, scope는 가릴 필요 없는데 까먹고 가렸..ㅎ

 

위에서 확인한 것과 같이 OAuth2AuthorizationRequestRedirectFilter를 통과한다. 이후 과정을 살펴보자.

OAuth2LoginAuthenticationProvider 실행

OAuth2LoginAuthenticationProvider의 authenticate()가 실행된다.

OAuth2LoginAuthenticationProvider.authenticate()

OAuth2LoginAuthenticationProvider의 authenticate() 에서는 userService.loadUser()가 실행된다.

이때 실행되는 userService는 DefaultOAuth2UserService이다.

 

(이를 바꿔주고 싶다면 config 파일에서 oauth2Login().userInfoEndpoint().userService(OAuth2UserService<OAuth2UserRequest, OAuth2User> 구현체)를 통해 userService를 설정해주면 된다.

(맨 아래에서 자세히 설명하겠다.)

 

DefaultOAuth2UserServices 는 OAuth2UserService를 구현한다.

 

 

 

 

 

 

DefaultOAuth2UserService

DefaultOAuth2UserService의 loadUser()를 살펴보자.

중간 과정은 복잡하니 생략하고, 결국 DefaultOAuth2User가 리턴되는 것을 알 수 있다.

DefaultOAuth2User

DefaultOAuth2User는 다음과 같은 필드들로 구성되어 있다.

(authorities는 권한, attribute는 로그인 API에서 반환하는 값(JSON)을 담고있는 값, nameAttributeKey는 아직 잘 모르겠다..ㅎ 약간 향로님 책 보면 OAuth2 로그인 진행 시 키가 되는 필드값, Primary Key와 같은 의미라 나와있는데, 느낌은 이해가 되지만 잘 모르겠담..)

 

 

 

 

 

SecurityContextHolder에 Authentication 저장

그렇게 계속해서 로그인을 진행하면, AbstractAuthenticationProcessingFilter에 도달하는데, 만약 로그인이 성공했다면 successfulAuthentication이 작동한다.

AbstractAuthenticationProcessingFilter.successfulAuthentication()

successfulAuthentication에서 SecurityContextHolder의 SecurityContext에 Authentication을 저장해준 context를 set 해주는것을 알 수 있다. 즉 여기서 권한 설정이 되는것이다.

이후 successHandler의 onAuthenticationSuccess를 호출해 성공 처리를 하는것을 알 수 있다.

 

 

 

 

 

 

 

 

 

OAuth2UserService<OAuth2UserRequest, OAuth2User> 커스텀하기

아까 위에서 설명했던 OAuth2LoginAuthenticationProvider 의 authenticate에서 DefaultOAuth2UserService의 대신 자신이 커스텀한 userService를 사용하는 방법에 대해서 알아보자.

@RequiredArgsConstructor
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    private final CustomOAuth2UserService customOAuth2UserService;


    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http
                //== 소셜 로그인 설정 ==//
                //.and()
                .oauth2Login()
                .userInfoEndpoint()
                .userService(customOAuth2UserService);
    }
}

위와같이 설정하여 OAuth2UserService를 커스텀하여 사용할 수 있다. 이를 통해 시큐리티에서 기본적으로 제공하지 않는 Kakao 등의 로그인도 처리할 수 있다.

 

참고로 OAuth2LoginConfigurer 의 init()에서 

OAuth2LoginConfigurer.init()

위와 같이 getOAuth2UserService()를 실행해 가져온 oauth2UserService를 Provider에게 지정해주는것을 알 수 있다.

OAuth2LoginConfigurer.getOAuth2UserService()

getOAuth2UserService()을 보면 userInfoEndpointConfig에 적용한 userService를 가져오기 때문에,  userInfoEndpoint().userService(customOAuth2UserService); 를 통해 userService를 설정해 줄 수 있다.

(만약 설정을 안해준다면 DefaultOAuth2UserService를 사용한다.)

 

 

위를 이용한 카카오 로그인 처리는 아래 포스팅을 참고하도록 하자.

[Security] OAuth2 카카오 로그인 구현하기

 

 

 

 

 

 

 

 

흐름 정리

Http 요청 [/oauth2/authorization/{아무거나}]  ->

OAuth2AuthorizationRequestRedirectFilter 작동 ->

DefaultOAuth2AuthorizationRequestResolver 작동 registrationId 받아옴 -> 
Application.properties에 등록된 registrationId 로 보내진 요청이라면 

OAuth2LoginAuthenticationProvider의 authenticate() 실행 -> 

userService(DefaultOAuth2UserService)의 loadUser() 실행->

DefaultOAuth2User 리턴 ->

AbstractAuthenticationProcessingFilter에 도달 -> 

AbstractAuthenticationProcessingFilter.successfulAuthentication() 작동->

SecurityContextHolder 속에 Authentication 저장 ->

successHandler.onAuthenticationSuccess() 호출