[Spring Security 6.3.3] Hello Spring Security - 스프링 시큐리티 시작하기

💡 Spring Secuirty 6.3.3의 Spring Security/Servlet Applications 문서를 기준으로 작성하였습니다

 

 

의존성 추가

Gradle에서는 다음의 의존성을 추가하여 Spring Secuirty에 대한 의존성을 추가할 수 있습니다.

dependencies {
	implementation "org.springframework.boot:spring-boot-starter-security"
}

Starting Hello Spring Security Boot

공식 문서에서 다음과 같은 Spring Security Starter Application을 제공합니다.

• Sample Repository
• Spring Initializr Download

이를 실행하면 인텔리제이의 실행 윈도우에 나타나는 문장 중 다음을 찾을 수 있는데, 이는 앱에서 스프링시큐리티가 적용되었다는 것을 의미합니다.

스프링 시큐리티 적용 시, “generated security password”로 제공된 credential 없이 쿼리를 보내면, 스프링 시큐리티는 권한이 없는 것으로 간주하고 401 Unauthorized 로 응답합니다.

$ curl -i <http://localhost:8080/some/path>
HTTP/1.1 401
...

다음과 같이 credential과 함께 쿼리를 보내면, 경로가 없기 때문에 404 Not Found로 응답하는 것을 확인할 수 있습니다.

$ curl -i -u user:8e557245-73e2-4286-969a-ff57fe326336 <http://localhost:8080/some/path>
HTTP/1.1 404
...

Runtime Expectations

Spring Boot에 Spring Security를 적용하면, 기본적으로 런타임 상에서 다음과 같은 기능이 제공됩니다.

• 모든 엔드포인트에 대해 인증된 사용자를 요구합니다.
• 서버 시작 시 생성된 패스워드를 통해 기본 사용자를 등록합니다.
• BCrypt를 비롯한 암호화 방식들로 비밀번호 저장소를 보호합니다.
• 폼 기반 로그인/로그아웃을 제공합니다.
• HTTP Basic, 폼 기반 로그인에서 인증을 수행합니다
• 웹 요청에 대해서는 로그인 페이지를, 서비스 요청에 대해서는 401 Unauthorized로 응답합니다.
• CSRF 공격을 막습니다.
• 세션 고정 공격을 막습니다.
• (생략)

💡 CSRF 공격이란?
Cross-Site Request Fogery.
공격자가 인증된 사용자가 사용하고 있는 사용자를 통해 강제로 요청을 보내게 하는 어플리케이션 취약점 공격 

• Spring Boot Security Auto Configuration

@EnableWebSecurity //@EnableWebSecurity 어노테이션을 추가합니다.
@Configuration
public class DefaultSecurityConfig {
    @Bean
    @ConditionalOnMissingBean(UserDetailsService.class)
    InMemoryUserDetailsManager inMemoryUserDetailsManager() {
		    // "user"라는 유저네임과 앱 실행 시 콘솔에 나왔던 랜덤으로 생성된 비밀번호에 대해
		    // UserDetailsService라는 빈을 발행합니다.
        String generatedPassword = // ...;
        return new InMemoryUserDetailsManager(User.withUsername("user")
                .password(generatedPassword).roles("USER").build());
    }

    @Bean
    @ConditionalOnMissingBean(AuthenticationEventPublisher.class)
    DefaultAuthenticationEventPublisher defaultAuthenticationEventPublisher(ApplicationEventPublisher delegate) {
        // 인증 이벤트를 위해 AuthenticationEventPublisher 빈을 발행합니다.
        return new DefaultAuthenticationEventPublisher(delegate);
    }
}

Security Use Cases

스프링 시큐리티를 사용하여 다양한 보안 과정을 추가할 수 있습니다. 주 사용 케이스들은 다음과 같습니다.

• REST API 설계 시 JWT 또는 다른 토큰을 이용한 인증 추가
• 웹앱, API 게이트웨이 등에서
  • OAuth 2.0이나 OIDC 로그인 추가
  • SAML 2.0을 이용한 로그인 추가
  • CAS를 이용한 로그인 추가
• 다음을 관리할 때
  • Spring Data, JDBC등을 이용해 LDAP나 Active Directory의 유저 관리
  • 비밀번호 관리

위의 사례 말고도 다음 순서대로 어플리케이션을 생각할 수 있습니다.

1. 프로토콜
2. Spring Security는 Servlet 기반 어플리케이션들에서 HTTP와 Websocket을 지원합니다.
3. 인증
4. 어떻게 사용자들이 인증을 받고, 그 인증이 stateful일지, stateless일지 고려하세요
5. 인가
6. 그리고, 유저에게 어떤 권한이 부여되었는지를 결정하세요
7. 마지막으로 Spring Security의 default protection과 결합하여 어떤 추가 protection이 필요한지를 고려하세요