[스프링] 스프링 시큐리티 (Spring Security)

아키텍쳐

Filter
- 클라이언트의 요청이 오면 서블릿 컨테이너는 요청 URI 경로 기반의 HttpServletRequest를 처리하는 FilterChain을 생성한다.
- FilterChain은 하나 이상의 Filter와 Servlet 인스턴스를 포함한다.
  - 하나의 Servlet은 하나의 HttpServletRrquest 및 HttpServletResponse를 처리하지만 Filter는 여러 개 사용될 수 있다.
- Filter 객체의 doFilter 메서드에 Filter 객체를 인자로 전달하고 다시 동일한 형태로 doFilter를 호출하므로 하나의 Filter 객체가 다운스트림 Filter 및 Servlet 객체에 영향을 미치며, Filter의 호출 순서가 중요하다.
```
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) {
    chain.doFilter(request, response);
}
```
- 서블릿 컨테이너에 적용하는 필터를 서블릿 필터라고 한다.
DelegatingFilterProxy
- 스프링은 서블릿 컨테이너의 라이프사이클과 ApplicationContext 사이를 연결할 수 있는 DelegatingFilterProxy라는 Filter 인터페이스 구현을 제공한다.
- 서블릿 컨테이너는 자체 표준을 사용하여 Filter 인스턴스를 등록할 수 있지만, 스프링 정의 빈을 인식하지 못한다. 대신 표준 서블릿 컨테이너 메커니즘을 통해 DelegatingFilterProxy 빈을 스프링 컨테이너에 등록하고 모든 작업을 Filter를 구현하는 스프링 빈(DelegatingFilterProxy)에 위임할 수 있다.
- DelegatingFilterProxy는 springSecurityFilterChain 빈에 웹 요청 처리를 위임한다.

스프링 MVC를 사용하는 경우 자바 구성

자바 구성(스프링 3.1, 스프링 시큐리티 3.2 부터 제공)을 사용할 경우 스프링 시큐리티는 기본적으로 AbstractSecurityWebApplicationInitializer 기본 클래스를 제공하여 springSecurityFilterChain 필터 빈을 스프링 컨테이너에 등록한다. springSecurityFilterChain 빈은 모든 웹 요청 보안을 처리한다.
springSecurityFilterChain 빈 등록은 서블릿 3.0+ 환경에서 지원하는 코드 기반 서블릿 초기화 기능^링크을 사용한다.
스프링을 사용하는 애플리케이션에서는 이미 스프링 구성을 불러오는 WebApplicationInitializer가 있으므로 이 구성을 사용하면 오류가 발생할 수 있다. 따라서 스프링 시큐리티를 기존 ApplicationContext에 등록해야 한다.
설정
- 구성 클래스 설정
  - @EnableWebSecurity 설정
- 시큐리티 필터 등록
  - AbstractSecurityWebApplicationInitializer 상속
  - 구성 클래스를 생성자의 인자로 전달
```
public class SecurityInitializer extends AbstractSecurityWebApplicationInitializer {
    public SecurityInitializer() {
        super(구성클래스.class);
    }
}
```
  - 하나 이상의 구성 클래스를 인자로 전달 받아 보안 기능 설정

URL 접근 보안

특정 URL에 대한 접근 통제/제어 설정을 통한 보안
WebSecurityConfigurerAdapter 클래스에 있는 configure(HttpSecurity http) 메서드를 재정의하여 보안 설정
기본 기능 설정 내용
- anyRequest().authenticated(): 모든 요청에 대해 인증 요청
- httpBasic(): HTTP 기본 인증
- formLogin(): 폼 기반 로그인 활성화
추가 보안 설정
- http.authorizeRequest() 호출로 설정 시작
- antMatchers() 메서드로 보안 규칙(특정 유저에 대한 접근 권한 부여) 작성
- .antMatchers("URL").hasAuthority("유저명"): 특정 유저에 대해 특정 URL 요청 접근 권한 부여
- .antMatchers(HttpMethod.메서드, "URL").hasAuthority("유저명"): 특정 유저에 대해 특정 HTTP 메서드인 요청 접근 권한 부여

인증 서비스

WebSecurityConfigurerAdapter 클래스에 있는 configure(AuthenticationManagerBuilder auth) 메서드를 재정의하여 인증 서비스 설정

[스프링] 스프링 시큐리티 (Spring Security)

아키텍쳐

스프링 MVC를 사용하는 경우 자바 구성

URL 접근 보안

인증 서비스

로그인 기능