[OAuth] 구글 로그인 구현하기(2) - 필터와 인터셉터 차이와 SpringFilterChain

이전 포스팅에서 Spring Security 를 활용하지 않고 컨트롤러로 다 구현했다.

이번에는 왜 Spring Security를 사용해서 OAuth를 구현해야하는지를 고려해보려고 한다.

Spring Security?

스프링 시큐리티는 강력하고 고도로 사용자 지정 가능한 인증 및 액세스 제어 프레임워크입니다. 스프링 기반 애플리케이션을 보호하기 위한 사실상의 표준입니다.

스프링 시큐리티는 Java 애플리케이션에 인증과 권한 부여를 모두 제공하는 데 중점을 둔 프레임워크입니다. 모든 스프링 프로젝트와 마찬가지로 스프링 시큐리티의 진정한 힘은 사용자 지정 요구 사항을 충족하기 위해 얼마나 쉽게 확장할 수 있는지에 달려 있습니다

 

스프링을 사용할 때 보안을 적용하고 싶다? 그럼 Spring Security를 사용해라. 라고 되어있다

스프링 시큐리티로 인증과 권한 부여를 제공할 수 있다고 한다.

 

Spring Security에서 OAuth 2.0 지원을 제공하므로 이를 사용해보기로 했다.

프로젝트 버전

java 17

spring boot 3.4

spring security 6.4

 

OAuth 로그인을 하기 위한 절차

1. Spring Security 의존성 추가

Security 의존성

dependencies {
	implementation "org.springframework.boot:spring-boot-starter-security"
}

 

OAuth2 client 의존성 추가

implementation 'org.springframework.boot:spring-boot-starter-oauth2-client'

 

2. Redirect URI 를 스프링에서 제공하는 URI template에 맞게 작성

{baseUrl}/login/oauth2/code/{registrationId}

구글 API Console에서 리다이렉트 경로를 위 템플릿에 맞게 작성한다.

예) http://localhost:8080/login/oauth2/code/google

3. OAuth 관련 기본 설정하기

spring:  
  security:
    oauth2:
      client:
        registration:
          google:
            client-id: 
            client-secret: 
            authorization-grant-type: authorization_code
            redirect-uri: http://localhost:8080/login/oauth2/code/google
            scope: email
        provider:
          google:
            authorization-uri: https://accounts.google.com/o/oauth2/v2/auth
            token-uri: https://www.googleapis.com/oauth2/v4/token
            user-info-uri: https://www.googleapis.com/oauth2/v3/userinfo

공식 페이지를 보면 설정 파일을 어떻게 작성하면 되는지 나와있다.

 

위에처럼 설정 파일에 작성해도 되지만 bean으로 등록할 수 있다.

@Configuration
public class OAuth2LoginConfig {

	@Bean
	public ClientRegistrationRepository clientRegistrationRepository() {
		return new InMemoryClientRegistrationRepository(this.googleClientRegistration());
	}

	private ClientRegistration googleClientRegistration() {
		return ClientRegistration.withRegistrationId("google")
			.clientId("google-client-id")
			.clientSecret("google-client-secret")
			.clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_BASIC)
			.authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
			.redirectUri("{baseUrl}/login/oauth2/code/{registrationId}")
			.scope("openid", "profile", "email", "address", "phone")
			.authorizationUri("https://accounts.google.com/o/oauth2/v2/auth")
			.tokenUri("https://www.googleapis.com/oauth2/v4/token")
			.userInfoUri("https://www.googleapis.com/oauth2/v3/userinfo")
			.userNameAttributeName(IdTokenClaimNames.SUB)
			.jwkSetUri("https://www.googleapis.com/oauth2/v3/certs")
			.clientName("Google")
			.build();
	}
}

만일  설정 파일을 작성하고 빈도 등록했다면 빈이 우선으로 적용된다.

4. SecurityFilterChain 빈 등록

자, 여기서 머리가 터진다.

SecurityFilterChain을 이해하려면 인터셉터, 필터의 차이를 알아야한다.

일단 전반적인 설정 흐름을 먼저 설명하고 뒤에서 자세히 설명하겠다

@Configuration
@EnableWebSecurity
public class OAuth2LoginSecurityConfig {

	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.authorizeHttpRequests(authorize -> authorize
				.anyRequest().authenticated()
			)
			.oauth2Login(withDefaults());
		return http.build();
	}
}

 

 

설정 파일을 제대로 설정했다면 oauth2Login(withDefaluts())에서 구글 로그인이 성공할 것이다.

이전에는 컨트롤러와 서비스 로직을 작성해서 OAuth 과정을 거쳤다. 

Spring Security를 사용하면 이 복잡하게 구현했던 것을 라이브러리가 알아서 다 해준다는 것이다. (너무 편하다!)

 

아래는 SpringFilterChain에 직접 정보를 등록하는 것이다.

@Configuration
@EnableWebSecurity
public class OAuth2LoginSecurityConfig {

	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.oauth2Login(oauth2 -> oauth2
			    .authorizationEndpoint(authorization -> authorization
			            ...
			    )
			    .redirectionEndpoint(redirection -> redirection
			            ...
			    )
			    .tokenEndpoint(token -> token
			            ...
			    )
			    .userInfoEndpoint(userInfo -> userInfo
			            ...
			    )
			);
		return http.build();
	}
}

redirectEndpoint: 인가코드를 받기 위한 리다이렉트 경로

이런 느낌으로 다른것도 해석하면 된다.

 

여기까지 본인이 어떤 방법으로 기본 정보들을 등록할지 선택하면 된다. 나는 설정파일에 작성했다.

이유는 민감정보가 들어가있고(client-id, cllient-secret) 정보를 한 곳에서 관리하는 게 편해서 yaml 파일로 관리하기로 했다.

 

SpringFilterChain

이게 Spring Security로  구글 로그인이 성공해다면 어떻게 동작하는지 알아보자

Spring Security의 핵심은 SpringFilterChain이다. SpringFilterChain을 기반으로 동작하기 때문이다.

 

SpringFilterChain은 스프링이 관리하는 "필터"이다. = Spring이 Bean으로 관리가 가능한 특수한 Filter

 

Spring Boot에는 필터와 인터셉터가 있는데 차이점은 아래와 같다.

Filter	Interceptor
톰캣이 관리, 빈 등록이 불가능	스프링이 관리, 빈 등록 가능, 스프링이 제공하는 기능 확용(AOP, DI 등)
DispatcherServlet 이전에 위치하여 요청을 처리한다.	DispaterServlet 뒤에 위치
MVC 상 공통 처리를 수행한다(토큰 유효성 검사 등, 서블릭 도달 전에 다 처리)	스프링 컨트롤러 요청, 반환에 대해서만 적용(서블릿 거쳐서 컨트롤러 가기 전에)
doFilter() 로 수행	preHandler(), postHandler(), afterCompletion()
톰캣이 관리하므로 WS처리도 수행한다.(정적 리소스 반환 등)	톰캣이 관리하는 영역에 대해서는 영향을 주지 못함

 

SpringFilterChain이 빈으로 등록된다고? 필터인데?

Spring에서 @EnableWebSecurity 이 어노테이션을 사용해서 (Application)FilterChain에 체결된다.

그래서 스프링이 관리하는 빈이지만 FilterChain에 연결되어 있으므로 DistacherServlet에 도달하기 전에 Filter 처럼 역할을 해준다.

DelegatigFilterProxy가 SecurityFilterChain을 거치도록 해준다.

DelegatingFilterProxy
- DelegatingFilterProxy 등장 이전: 스프링 빈으로 등록 및 다른 빈 주입 불가능
- DelegatingFilterProxy 등장 이후: 스프링 빈으로 등록 및 다른 빈 주입 가능
- Spring Boot 등장 이후: 직접 내장 WAS 설정 -> DelegatingFilterProxy 설정 없어도 자동 설정
자세한 내용을 보고 싶다면 링크를 참조
추가: spring security가 빈 초기화하는 과정

 

Spring Security 버전별 필터 등록 방법

Spring Security 5.4(포함)이전
filter chain으로 등록할 클래스에 어노테이션 붙이고 , WebSecurityConfigurer 을 구현

또는

WebSecurityConfigurerAdapter 를 상속받은 SecurityConfig 클래스 구현

Spring Security 5.7+

Component based Security Confituartion설정을 사용

@EnableWebSecurity + @Configuration을 붙여서 설정 빈으로 등록

위에 처럼 설정 파일 빈으로 등록 + 필터 활성화 한 후 @EnableMethodSecurity를 통해 메서드 단위로 로그인 세션의 역할에 따른 보안 설정 가능

 

 

Spring Security를 사용한 인증 방식 과정

 

Authentication Filter만 잘 이해하자

SpringFilterChain에 정말 여러가지 필터가 있지만, 지금 구현에서는 Authentication Filter만 이해해도 충분하다.

 

큰 흐름은 

1. AuthenticationFilter
2. AuthenticationManager
3. AuthenticationProvider

순이다.

 

위 흐름에 대한 설명을 할건데 모르는 단어가 나와도 그냥 넘어가자. 대충 이런 흐름으로 흘러간다만 이해하고 뒤에서 용어 설명을 보고 다시 흐름을 이해하자

 

1. AuthenticationFilter(미인증 토큰을 만든다)

AuthenticationToken(로그인 정보를 담고 있음)을 생성해서 로그인한 회원 정보를 SecurityContextHolder(세션 개념으로 생각)에 저장

 

2. AuthenticationManager(토큰을 인증하기 위한 Provider 탐색)

AutheticationManaer의 구현체인 ProviderManager를 사용해서 Filter에서 생성한 Token(AuhenticationToken)을 인증하기 위한 AuthenticationProvider 탐색

 

3. AuthenticationProvider에서 미인증 토큰에 대해 인증을 진행한다.

input: 1번의 미인증 토큰

output: 인증된 토큰인 Authentication 객체 (인증 여부는 authorities가 true인지, false인지로 판단)

UserDetailsService를 통해서 인증하는 과정이 진행된다.

@Component
@RequiredArgsConstructor
public class CustomAuthenticationProvider implements AuthenticationProvider {
    private final UserDetailsService userDetailsService;
    private final PasswordEncoder passwordEncoder;

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        UsernamePasswordAuthenticationToken token = (UsernamePasswordAuthenticationToken) authentication;
        String username = token.getName();
        String password = (String) token.getCredentials();

        LoggedUser loggedUser = (LoggedUser) userDetailsService.loadUserByUsername(username);
        if (!passwordEncoder.matches(password, loggedUser.getPassword())) {
            throw new BadCredentialsException(loggedUser.getUsername() + " : Invalid password");
        }

        return new UsernamePasswordAuthenticationToken(username, password, loggedUser.getAuthorities());
    }

    @Override
    public boolean supports(Class<?> authentication) {
        return authentication.equals(UsernamePasswordAuthenticationToken.class);
    }
}

userDetailsService의 loadUserByUseranme()으로 인증후, 인증된 LoggedUser객체를 반환해서 인증된 정보로 UsernamePasswordAuthenticationToken 객체를 반환한다.

 

AuthenticationToken
인증에 사용될 클라이언트(요청자)가보낸 정보이다. -> Authentication 인터페이스 구현체
예) UsernamePasswordAuthenticationToken: usernamer과 Password 를 저장(username: principal역할, password → credential 역할)

Authentification 인터페이스 구조

• Principal : 접근 주체의 아이디 혹은 User 객체를 저장합니다.
• Credentials : 접근 주체의 비밀번호를 저장합니다.
• Authorities : 인증된 접근 주체자의 권한 목록을 저장합니다.
• Details : 인증에 대한 부가 정보를 저장합니다.
• Authenticated : boolean 타입의 인증 여부를 저장합니다.

SecurityContextHolder

SecurityContextHolder는 기본적으로 ThreadLocal 사용, 따라서 동시에 요청해도 다른 객체를 생성하므로 동시 요청에 충돌이 발생하지 않도록 구현되어 있다.

= 한 스레드 내에서 쉐어하는 저장소

= 한 스레드에서 Authentication 공유 가능

다른 스레드 요청에서는 다시 인증해야함

여기서부터는 개인적인 생각
그럼 만약 한 사람이 여러 요청을 하면 요청마다 다른 스레드가 생성될 것이고, 요청할 때마다 인증, 인가 과정을 거쳐야한다? 비효율적이지 않은가 했는데
요청마다 새로운 SecurityContextHolder를 제공하고, 요청이 끝나면 정보를 초기화해서 개인정보가 유출되는 경우는 없을 거 같다.
ThreadPool을 사용하고 있다면 무조건 정보를 초기화하는게 맞음. 다른 요청에 스레드를 재사용할텐데 여기서 초기화를 안하면 개인 정보가 유출될 수도 있다.
참고: TreadLoal에 대한 자세한 설명

 

지금까지 SpringFilterChain에서 인증방식이 어떻게 진행되는지 간단하게 살펴보았다.

이정도만 알아도 구현하는데에 크게 문제가 없었다.

 

다음에는 oauth2Login이 어떻게 동작하는지 구현하면서 알아보려고 한다.