Spring Security 도입기 - OAuth2 Login 편

logging: level: org.springframework.security.oauth2: DEBUG org.springframework.security.web: DEBUG

@Configuration @EnableWebSecurity @EnableGlobalMethodSecurity(prePostEnabled = true) @RequiredArgsConstructor public class SecurityConfig { private final CustomOAuth2UserService customOAuth2UserService; private final JwtAuthenticationFilter jwtAuthenticationFilter; private final JwtExceptionFilter jwtExceptionFilter; private final LoggingFilter loggingFilter; private final CustomSuccessHandler customSuccessHandler; private final CsrfCookieConfig csrfCookieConfig; private final CustomAuthenticationEntryPoint entryPoint; private final CustomAccessDeniedHandler accessDeniedHandler; private final SecurityExpressionHandler<FilterInvocation> expressionHandler; private final LogoutHandler logoutHandler; @Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http.csrf(csrf -> csrf .csrfTokenRepository(csrfCookieSecurityFilterChain filterChainConfig)) // csrf 공격 방지를 위해 활성화. JWT 인가 방식 사용 시 보통 비활성화를한다.(refreshToken 때문에 우린 활성화..) // oauth2 로그인 방식만을 사용할거라 둘 다 비활성화 .formLogin(AbstractHttpConfigurer::disable) .httpBasic(AbstractHttpConfigurer::disable) .cors().and() // CORS 관련 설정 활성화. 기존에 사용하던 MVC CORS Config 그대로 사용 // 세션 비활성화 .sessionManagement(session -> session .sessionCreationPolicy(SessionCreationPolicy.STATELESS) ) // 인가 범위를 url 단위로 지정 어떤 리소스는 최소 role을 가져야 접근 가능 .authorizeRequests(auth -> auth // master role에게 최상위 권한을 주기 위해 expressionHandler 커스텀 .expressionHandler(expressionHandler) .mvcMatchers(SecurityPathPatterns.PUBLIC_ENDPOINTS) .permitAll() .mvcMatchers(SecurityPathPatterns.ADMIN_ENDPOINTS).hasRole("ADMIN") .mvcMatchers(SecurityPathPatterns.USER_ADMIN_ENDPOINTS) .hasAnyRole("USER", "ADMIN") .mvcMatchers(SecurityPathPatterns.USER_AGU_ENDPOINTS) .hasAnyRole("USER", "AGU") .anyRequest().hasRole("USER") ) // oauth2 활성화. 커스터마이징한 userService를 사용하고, 성공 시 지정한 커스텀 successHandler로 ㄱㄱ .oauth2Login(oauth -> oauth .userInfoEndpoint(user -> user.userService(customOAuth2UserService)) .successHandler(customSuccessHandler) ) // 로그아웃 순서는 url 요청 -> 관련 메서드(세션, authentication 제거) 수행 -> logoutHandler 수행 .logout(logout -> logout // 해당 api로 요청 시 로그아웃을 수행한다(컨트롤러 내부 메서드는 수행 x, url만 연결) .logoutUrl("/v5/auth/logout") // 여기에서 본격적인 logout 과정 수행(jwt 파기, 쿠키 삭제) .logoutSuccessHandler(logoutHandler) // 세션 무효화, authentication 제거 .invalidateHttpSession(true) .clearAuthentication(true) ) // 필터 순서 및 커스텀 필터 정의 // addBefore(필터명A, 필터명B): 필터B 이전에 필터A 수행할래 .addFilterBefore(loggingFilter, SecurityContextHolderFilter.class) .addFilterBefore(jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class) .addFilterBefore(jwtExceptionFilter, JwtAuthenticationFilter.class) // 예외 핸들링 커스터마이징 .exceptionHandling(handler -> handler .authenticationEntryPoint(entryPoint) .accessDeniedHandler(accessDeniedHandler)) ; return http.build(); } }

@Configuration // SecurityConfig.class 자체를 컨테이너 빈에 등록합니다 @EnableWebSecurity @EnableGlobalMethodSecurity(prePostEnabled = true) @RequiredArgsConstructor

security: oauth2: client: registration: # 유저 로그인용 ft: client-name: ft authorization-grant-type: authorization_code client-id: test client-secret: test redirect-uri: ${cabinet.server.be-host}/login/oauth2/code/ft client-authentication-method: client_secret_basic scope: public provider: ft: authorization-uri: https://api.intra.42.fr/oauth/authorize token-uri: https://api.intra.42.fr/oauth/token user-info-uri: https://api.intra.42.fr/v2/me users-info-uri: https://api.intra.42.fr/v2/users user-name-attribute: login

public class Oauth2Attributes { private final String provider; private final String name; private final String email; private final Map<String, Object> attributes; public Oauth2Attributes(String provider, String name, String email, Map<String, Object> attributes) { // 필수 타입들만 null 검증 수행 if (provider == null || name == null || email == null) { throw new SpringSecurityException(ExceptionStatus.INVALID_ARGUMENT); } this.provider = provider; this.name = name; this.email = email; this.attributes = attributes; } public static Oauth2Attributes of(String provider, Map<String, Object> attributes, String attributeKey) { if (provider.equals("google")) { return ofGoogle(attributes, attributeKey); } if (provider.equals("naver")) { return ofNaver(attributes, attributeKey); } if (provider.equals("kakao")) { return ofKakao(attributes, attributeKey); } if (provider.equals("github")) { return ofGithub(attributes, attributeKey); } if (provider.equals("ft")) { return ofFt(attributes, attributeKey); } throw new SpringSecurityException(ExceptionStatus.NOT_SUPPORT_OAUTH_TYPE); }

public class CustomOAuth2User implements OAuth2User { private final Oauth2Attributes oauth2Attributes; private String name; private String provider; private String email; public String getEmail() { return oauth2Attributes.getEmail(); } public String getProvider() { return oauth2Attributes.getProvider(); } @Override public String getName() { return oauth2Attributes.getName(); } @Override public Map<String, Object> getAttributes() { return oauth2Attributes.getAttributes(); } @Override public Collection<? extends GrantedAuthority> getAuthorities() { return List.of(); } }

@Override public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException { CustomOAuth2User fromLoadUser = (CustomOAuth2User) authentication.getPrincipal(); String provider = fromLoadUser.getProvider(); try { //provider에 따라 OauthResult 형성 OauthResult oauthResult = processOAuthLogin(request, provider, fromLoadUser); // SecurityContextHolder에 정보 저장 및 JWT를 cookie에 저장 authFacadeService.processAuthentication(request, response, oauthResult, provider); // FE로 돌아가자 ㄱㄱ role 따라서 response.sendRedirect 시킴 redirectUser(response, oauthResult); } catch (Exception e) { SecurityContextHolder.clearContext(); securityExceptionHandlerManager.handle(response, e, true); } } private OauthResult processOAuthLogin(HttpServletRequest req, String provider, CustomOAuth2User oauth2User) { if (provider.equals(mainProvider)) { JsonNode rootNode = objectMapper.convertValue(oauth2User.getAttributes(), JsonNode.class); return oauthFacadeService.handleFtLogin(rootNode); } return oauthFacadeService.handleExternalOAuthLogin(oauth2User, req); } // JWT 생성시 필요한 정보와 redirect 경로를 담은 DTO public class OauthResult { private Long userId; private String roles; private String redirectionUrl; public boolean hasRole(String role) { return role != null && role.contains(roles); } }

public class OauthFacadeService { 생략.. // ftOauth 로그인 시, 신규 유저를 등록하거나 유저 상태 업데이트 userFacdeService 내에서 트랜잭션 작업 처리 끝 public OauthResult handleFtLogin(JsonNode rootNode) { FtOauthProfile profile = oauthProfileService.convertJsonNodeToFtOauthProfile(rootNode); User user = userFacadeService.createOrUpdateUserFromProfile(profile); return new OauthResult(user.getId(), user.getRoles(), authPolicyService.getMainHomeUrl()); } @Transactional public OauthResult handleExternalOAuthLogin(CustomOAuth2User oauth2User, HttpServletRequest request) { String oauthMail = oauth2User.getEmail(); // 관리자 로그인 구분 if (securityPathPolicy.isAdminContext()) { return adminAuthService.handleAdminLogin(oauthMail); } // 계정 연동 관련 Facade 서비스 return oauthLinkFacadeService.handleLinkUser(request, oauth2User); } }

http.csrf(csrf -> csrf .csrfTokenRepository(csrfCookieConfig)) // csrf 공격 방지를 위해 활성화. JWT 인가 방식 사용 시 보통 비활성화를한다.(refreshToken 때문에 우린 활성화..)