Spring Security Email Login + JWT

개요

Spring Security의 기본 인증

기본 Spring Security를 적용하면 어떻게 작동할까?

기본 동작 구조

1. 로그인 폼 자동 생성

2. 로그인 폼에서 생성된 요청 받기

• 기본 경로: POST /login

• 파라미터: username, password

• 인증 성공 시: 기본 경로 /로 리디렉션

3. 모든 HTTP 요청은 인증 필요

• HTML 요청인 경우 → /login으로 리디렉션

• REST API 요청인 경우 → 401 Unauthorized 응답 반환

동작 원리

DefaultLoginPageGeneratingFilter

public class DefaultLoginPageGeneratingFilter extends GenericFilterBean {
    private void doFilter(
        HttpServletRequest request,
        HttpServletResponse response,
        FilterChain chain)
        throws IOException, ServletException {
        
        // ~~~
        if (!this.isLoginUrlRequest(request) && !loginError && !logoutSuccess) {
            chain.doFilter(request, response);
        } else {
            String loginPageHtml = this.generateLoginPageHtml(request, loginError, logoutSuccess);
            // ~~~
            response.getWriter().write(loginPageHtml);
        }
    }
    
    private boolean isLoginUrlRequest(HttpServletRequest request) {
        return this.matches(request, this.loginPageUrl);
    }
}

REST API 인증을 추가하려면?

UsernamePasswordAuthenticationFilter

1. Form 기반 인증 요청에서 username과 password를 추출하여 UsernamePasswordAuthenticationToken 객체를 ProviderManager에 전달합니다.
• UsernamePasswordAuthenticationToken은 Authentication 인터페이스의 구현체
• ProviderManager는 AuthenticationManager 인터페이스의 구현체

2. ProviderManager는 DaoAuthenticationProvider를 이용하여 인증을 수행한다.
• DaoAuthenticationProvider 는 AuthenticationProvider 인터페이스의 구현체

3. DaoAuthenticationProvider는 UserDetailsService를 이용해 전달받은 username과 일치하는 UserDetails(저장된 사용자 정보)를 조회한다.

4. DaoAuthenticationProvider는 PasswordEncoder를 이용해 전달받은 password와 3번 과정에서 조회한 UserDetails의 비밀번호가 일치하는지 검증한다.

5. 4번 과정에서 비밀번호 검증까지 성공하면 사용자 인증은 성공한 것이다. 이 때, 인증이 완료된 UsernamePasswordAuthenticationToken을 반환하게 되며 이 구현체의 principal 값은 UserDetailsService에서 조회해온 UserDetails로 설정된다.

6. 최종적으로, 반환된 UsernamePasswordAuthenticationToken은 SecurityContextHolder에 설정된다.

Spring Security 의 인증 알아보기

안녕하세요. 네이버페이 회원&인증BE 의 최용화입니다.

https://medium.com/naverfinancial/spring-security-%EC%9D%98-%EC%9D%B8%EC%A6%9D-%EC%95%8C%EC%95%84%EB%B3%B4%EA%B8%B0-a378b7f125c1

public class AuthController {
    private final AuthenticationManager authenticationManager;
    
    @PostMapping("/login")
    public ResponseEntity<LoginResponse> authenticate(@RequestBody @Valid EmailLoginRequest emailLoginRequest) {
        // AuthenticationManager로 인증 시도, 이는 기존의 username/password 방식으로 인증을 시도하는 것과 동일
        try {
            Authentication authentication = authenticationManager.authenticate(
                    new UsernamePasswordAuthenticationToken(
                            emailLoginRequest.email(),
                            emailLoginRequest.password()
                    )
            );

            // 인증 성공 시 SecurityContext 에 저장
            SecurityContextHolder.getContext().setAuthentication(authentication);

            return ResponseEntity.ok();
        } catch (AuthenticationException e) {
            throw new CustomException(ErrorCode.EMAIL_LOGIN_FAILED);
        }
    }

UsernamePasswordAuthenticationFilter를 재활용 하면 안되나?

JWT 토큰을 발급하려면?

Reference

Spring Security 의 인증 알아보기

안녕하세요. 네이버페이 회원&인증BE 의 최용화입니다.

https://medium.com/naverfinancial/spring-security-%EC%9D%98-%EC%9D%B8%EC%A6%9D-%EC%95%8C%EC%95%84%EB%B3%B4%EA%B8%B0-a378b7f125c1

[Spring] Spring security JWT 구현하기

이 글은 공부를 하면서 알게 된 내용들을 기록하는 글 입니다. 오류나 고쳐야 할 사항들이 있다면 지적 부탁드립니다!0. JWTJWT는 토큰 인증 방식의 한 가지 종류로서, 클라이언트가 토큰을 가지고 있다가 API 요청을 할 때 JWT(Access token, Refresh token)을 전달하여 인증 & 인가를 진행하는 방식을 이야기 한다. JWT 구현 코드를 설명하기 전에, JWT 구현 방식은 내부 로직을 어떻게 구현하냐에 따라서 달라진다.눈에 여겨볼만한 특징 몇 가지만 짚고 넘어가자. 1️⃣ Access token, Refresh token 두 개의 토큰을 사용한다. Access token을 통해 인가를 진행하며, Refresh token을 통해 Access token을 재발급한다.2️⃣ Refres..

https://m42-orion.tistory.com/151