[로그인구현] Spring-React 로그인 구현하기(Security)

제가 공부한 내용을 정리하는 블로그입니다.
아직 많이 부족하고 배울게 너무나도 많습니다. 틀린내용이 있으면 언제나 가감없이 말씀해주시면 감사하겠습니다😁

스프링부트와 리액트를 활용해 로그인을 구현 프로젝트를 진행합니다. 순서는
1. 프로젝트 초기화
2. 쿠키를 이용한 로그인 구현
3. 세션을 이용한 로그인 구현
4. JWT 토큰을 활용한 로그인 구현
입니다. 

네번째는 Security 이론입니다.

 

Spring Security란

스프링 보안은 강력하고 고도로 사용자 지정 가능한 인증 및 액세스 제어 프레임워크입니다. 스프링 기반 애플리케이션을 보호하기 위한 사실상의 표준입니다.

Spring Security는 Java 애플리케이션에 인증과 권한 부여를 모두 제공하는 데 중점을 둔 프레임워크입니다. 모든 Spring 프로젝트와 마찬가지로 Spring Security의 진정한 힘은 사용자 지정 요구 사항을 충족하기 위해 얼마나 쉽게 확장할 수 있는지에서 찾을 수 있습니다
- Spring Security 공식 docs

 

Spring Security는 Spring 기반 애플리케이션의 인증, 권한관리 그리고 데이터 보호기능을 포함하는 프레임워크입니다. 인증(Authentication), 권한 부여(Authorization), 데이터 보호 등의 기능을 제공하여 애플리케이션의 보안 요구 사항을 쉽게 해결할 수 있도록 돕습니다. 특히 웹 애플리케이션의 다양한 보안 위협(CSRF, XSS 등)을 방어하고, 사용자가 인증된 상태에서 적절한 리소스 접근 권한을 갖도록 제어합니다.

Spring Security의 핵심 역할은 다음과 같습니다:

• 사용자가 누구인지 확인(인증)
• 사용자가 무엇을 할 수 있는지 결정(권한 부여)
• 웹 애플리케이션의 데이터를 안전하게 보호

Spring Security를 사용하는 이유

1. 보안 위협 방어
   • Spring Security는 CSRF(Cross-Site Request Forgery), XSS(Cross-Site Scripting), 세션 고정 공격(Session Fixation) 등 다양한 보안 위협에 대한 기본 방어 기능을 제공합니다.
2. 인증과 권한 관리의 편의성
   • 기본적으로 제공되는 인증 및 권한 부여 로직을 활용하거나, 커스터마이징하여 복잡한 보안 요구 사항을 구현할 수 있습니다.
3. 손쉬운 통합
   • Spring Security는 Spring Framework 및 Spring Boot와 자연스럽게 통합되며, 설정과 구성이 간단합니다.
4. 확장성과 커스터마이징
   • 사용자 정의 인증, 권한 정책, 필터 등을 구현하여 프로젝트 요구 사항에 맞는 보안 구조를 설계할 수 있습니다.
   • IoC/DI 패턴과 같은 확장 패턴을 염두하여 개발이 가능하였습니다.
5. 업계 표준 준수
   • OAuth2, JWT, OpenID Connect 등 표준 보안 프로토콜을 지원하여 최신 보안 트렌드에 맞는 애플리케이션을 개발할 수 있습니다.

Spring Security 주요 개념

1. Authentication (인증)
   인증은 사용자가 본인이 맞는지를 확인하는 과정입니다. 사용자가 올바른 자격 증명(예: 아이디와 비밀번호)을 제공했는지 확인합니다.
   • AuthenticationManager: 인증 처리를 담당하는 인터페이스.
   • UserDetailsService: 사용자 정보를 로드하는 서비스.
   • PasswordEncoder: 비밀번호 암호화 및 검증 처리.
   • 인증방식
     • credential 방식: username, password를 이용하는 방식
       principal -> 아이디(username), credential -> 비밀번호(password)
     • 이중 인증(twofactor 인증): 사용자가 입력한 개인정보를 인증 후, 다른 인증 체계를 이용하여 두가지의 조합으로 인증하는 방식
     • 하드웨어 인증: 자동차 키와 같은 방식
2. Authorization (인가)
   권한 부여는 사용자가 특정 리소스나 작업을 수행할 권한이 있는지 확인하는 과정입니다.
   • GrantedAuthority: 사용자의 권한 정보.
   • AccessDecisionManager: 권한 부여 판단을 담당.
3. Security Context
   SecurityContextHolder를 통해 애플리케이션 전반에서 현재 사용자의 인증 및 권한 정보를 관리합니다.
   
   
4. Filter Chain
   Spring Security는 HTTP 요청을 처리하기 위해 여러 필터를 체인 형태로 연결합니다.
   주요 필터:
   • UsernamePasswordAuthenticationFilter: 사용자 인증 처리.
   • BasicAuthenticationFilter: HTTP Basic 인증 처리.
   • CsrfFilter: CSRF 보호.

Spring Security 동작 원리

아키텍처

스프링 시큐리티 아키텍처

 

1. 클라이언트가 서버에 요청을 보냅니다.
2. AuthenticationFilter가 요청을 인터셉트하고 이를 AuthenticationManager에 전달합니다.
3. AuthenticationManager는 등록된 AuthenticationProvider를 탐색하여 인증 처리를 위임합니다.
4. AuthenticationProvider는 사용자 데이터를 확인하고, 인증된 UserDetails 객체를 반환합니다.
5. 인증 결과는 SecurityContextHolder에 저장되며, 저장된 사용자 정보는 Spring Controller에서 활용할 수 있습니다.

 

 

 

참조

• Spring Security docs: https://spring.io/projects/spring-security