Feature: (BRD-74) 액세스토큰 인증 기능 추가 #53

ttasjwi · 2024-11-15T11:26:41Z

JIRA 티켓

BRD-74

ttasjwi · 2024-11-15T11:27:40Z

board-system-external/external-security/build.gradle.kts

-    implementation(Dependencies.SPRING_BOOT_STARTER.fullName)
-    implementation(Dependencies.SPRING_SECURITY_CRYPTO.fullName)
+    implementation(Dependencies.SPRING_BOOT_SECURITY.fullName)
+    implementation(Dependencies.SPRING_BOOT_WEB.fullName)


spring-boot-starter-security 의존성을 추가합니다.

spring-boot-starter-security 에 이미 spring-security-crypto 가 포함되어 있으므로 대체합니다.

ttasjwi · 2024-11-15T11:30:55Z

.../external-security/src/main/kotlin/com/ttasjwi/board/system/core/config/FilterChainConfig.kt

+    @Bean
+    @Order(0)
+    fun apiSecurityFilterChain(http: HttpSecurity): SecurityFilterChain {
+        http {
+            securityMatcher("/api/**")
+            authorizeHttpRequests {


시큐리티 필터체인은 여러개 등록할 수 있는데, 필터체인 설정 클래스 내에서 @Order 를 지정하여, 필터체인 순서를 지정할 수 있습니다. 이렇게 할 경우 securityMatcher에 가장 먼저 매칭된 요청이 해당 필터체인을 거치게 됩니다.

/api/.. 로 시작되는 경우 먼저 매칭되어 api 필터체인을 타게 됩니다.

ttasjwi · 2024-11-15T11:33:28Z

.../external-security/src/main/kotlin/com/ttasjwi/board/system/core/config/FilterChainConfig.kt

+                authorize(HttpMethod.GET, "/api/v1/deploy/health-check", permitAll)
+
+                authorize(HttpMethod.GET, "/api/v1/members/email-available", permitAll)
+                authorize(HttpMethod.GET, "/api/v1/members/username-available", permitAll)
+                authorize(HttpMethod.GET, "/api/v1/members/nickname-available", permitAll)
+
+                authorize(HttpMethod.POST, "/api/v1/members/email-verification/start", permitAll)
+                authorize(HttpMethod.POST, "/api/v1/members/email-verification", permitAll)
+                authorize(HttpMethod.POST, "/api/v1/members", permitAll)
+
+                authorize(HttpMethod.POST, "/api/v1/auth/login", permitAll)


기존 작성한 api 들은 모두 permitAll (무조건 통과) 처리했습니다.

다만 여기서 health-check 기능은 특정 시스템에 의해서만 되도록 해야하는데, 이 기능은 향후 개선할 예정입니다.

ttasjwi · 2024-11-15T11:33:48Z

.../external-security/src/main/kotlin/com/ttasjwi/board/system/core/config/FilterChainConfig.kt

+
+                authorize(HttpMethod.POST, "/api/v1/auth/login", permitAll)
+
+                authorize(anyRequest, authenticated)


별도의 설정을 하지 않은 api들은 무조건 인증을 필요로 하게 됩니다.

ttasjwi · 2024-11-15T11:34:34Z

.../external-security/src/main/kotlin/com/ttasjwi/board/system/core/config/FilterChainConfig.kt

+    @Bean
+    @Order(1)
+    fun staticResourceSecurityFilterChain(http: HttpSecurity): SecurityFilterChain {
+        http {
+            authorizeHttpRequests {
+                authorize(anyRequest, permitAll)
+            }
+        }
+        return http.build()
+    }


/api/ 로 시작하지 않는 경로는 모두 통과시킵니다. 정적 리소스로 간주하고 일단 통과시킬겁니다.

- AuthorizationFilter에서 발생한 예외는 그 앞에 위치한 ExceptionTranslationFilter로 전파됩니다. - 여기서 인증예외/인가예외는 AuthenticationEntryPoint, AccessDeniedHandler로 전달되어 처리됩니다 - 이 부분을 커스터마이징하였습니다.

- 스프링 시큐리티에서 발생하는 인증필요/인가실패 예외를 커스텀예외로 변환하여 처리하도록 했다.

ttasjwi · 2024-11-17T03:56:19Z

.../kotlin/com/ttasjwi/board/system/auth/domain/external/spring/security/BearerTokenResolver.kt

+class BearerTokenResolver {
+
+    private val bearerTokenHeaderName = HttpHeaders.AUTHORIZATION
+
+    fun resolve(request: HttpServletRequest): String? {
+        val authorizationHeader = request.getHeader(this.bearerTokenHeaderName) ?: return null
+
+        if (!authorizationHeader.startsWith("Bearer ", ignoreCase = true)) {
+            throw InvalidAuthorizationHeaderFormatException()
+        }
+        return authorizationHeader.substring(7)
+    }


BearerTokenResolver 는 AuthorizationHeader 에서 "Bearere " 뒤의 문자열을 추출합니다.

이 때 "Bearer "로 시작하지 않으면 예외가 발생합니다.

AuthorizationHeader 가 없으면 null 을 반환합니다.

ttasjwi · 2024-11-17T03:59:32Z

.../external-security/src/main/kotlin/com/ttasjwi/board/system/core/config/FilterChainConfig.kt

+            exceptionHandling {
+                authenticationEntryPoint = CustomAuthenticationEntryPoint(handlerExceptionResolver)
+                accessDeniedHandler = CustomAccessDeniedHandler(handlerExceptionResolver)
+            }


인증 /인가 담당 필터인 AuthorizationFilter 앞에 있는 ExceptionTranslationFilter는 스프링 시큐리티 예외 후속 처리를 AuthenticationEntryPoint, AccessDeniedHandler 에게 위임합니다.

이 부분에서 사용되는 구현체를 제가 커스터마이징 했습니다.

ttasjwi · 2024-11-17T04:03:31Z

...sjwi/board/system/external/spring/security/authentication/AccessTokenAuthenticationFilter.kt

+        // 이미 인증됐다면 통과
+        if (isAuthenticated()) {
+            filterChain.doFilter(request, response)
+            return
+        }
+
+        // 헤더를 통해 토큰을 가져옴. 없다면 통과
+        val tokenValue = bearerTokenResolver.resolve(request)
+        if (tokenValue == null) {
+            filterChain.doFilter(request, response)
+            return
+        }
+
+        // 토큰값을 통해 인증
+        val authentication = attemptAuthenticate(tokenValue)
+
+        // 인증 결과를 SecurityContextHolder 에 저장
+        saveAuthenticationToSecurityContextHolder(authentication)
+
+        // 통과
+        try {
+            filterChain.doFilter(request, response)
+        } finally {
+            SecurityContextHolder.getContextHolderStrategy().clearContext()
+        }


AccessTokenAuthenticationFilter 는 액세스토큰 인증을 담당합니다.

이미 인증된 회원이면 통과시킵니다.

BearerTokenResolver 를 통해 Authorization 헤더에서 Bearer 토큰값을 추출합니다. 토큰값이 없으면 통과시킵니다.

토큰값이 있으면 액세스토큰을 파싱하고 유효한지 확인한 뒤, 인증 결과물인 Authentication 을 획득합니다.

여기서 얻어진 Authentication 을 SecurityContextHolder 에 저장하고, 필터체인을 통해 통과시킵니다.

finally 문에서 시큐리티 컨텍스트홀더 자원을 반드시 정리합니다.

ttasjwi · 2024-11-17T04:04:17Z

...com/ttasjwi/board/system/external/spring/security/authentication/AuthMemberAuthentication.kt

+class AuthMemberAuthentication
+private constructor(
+    private val authMember: AuthMember
+) : Authentication {
+
+    companion object {
+        fun from(authMember: AuthMember): AuthMemberAuthentication {
+            return AuthMemberAuthentication(authMember)
+        }
+    }
+
+    override fun getName(): String? {
+        return null
+    }
+
+    override fun getAuthorities(): MutableCollection<out GrantedAuthority> {
+        return mutableListOf(SimpleGrantedAuthority("ROLE_${authMember.role.name}"))
+    }


AuthMemberAuthentication 은 AuthMember 로 구성한 스프링 시큐리티 Authentication 입니다.

ttasjwi self-assigned this Nov 15, 2024

ttasjwi commented Nov 15, 2024

View reviewed changes

Feature: (BRD-74) 스프링 시큐리티 필터체인 기본 설정

cf8761f

ttasjwi force-pushed the BRD-74__access-token-authenticate branch from 82bf593 to cf8761f Compare November 15, 2024 11:28

ttasjwi commented Nov 15, 2024

View reviewed changes

Feature: (BRD-74) AccessTokenManager - 액세스토큰 현재유효성 체크기능 추가

c431959

ttasjwi force-pushed the BRD-74__access-token-authenticate branch from 2de3238 to c431959 Compare November 15, 2024 13:37

ttasjwi added 9 commits November 16, 2024 08:48

Feature: (BRD-74) BearerTokenResolver 정의(Authorization 헤더에서 토큰값 분리)

73b703d

Feature: (BRD-74) AccessTokenManagerFixture 구현 변경

791bfda

Feature: (BRD-74) 인증회원에 대응하는 Authentication(Spring Security) 구현

ea2c6f5

Feature: (BRD-74) 액세스토큰 인증 필터 구현

9e047ae

Feature: (BRD-74) 액세스토큰 인증필터를 필터체인에 포함

c83517b

Chore: (BRD-74) external-security 모듈 내 패키지 구조 수정

100401a

Feature: (BRD-74) NoResourceFoundException 처리

230ad52

Feature: (BRD-74) 인증필요/인가실패 예외 정의

edcd3ab

ttasjwi force-pushed the BRD-74__access-token-authenticate branch from fb9ad3b to edcd3ab Compare November 17, 2024 02:48

ttasjwi added 2 commits November 17, 2024 12:01

Feature: (BRD-74) 인증필요/인가실패 예외처리 개선

435a828

- 스프링 시큐리티에서 발생하는 인증필요/인가실패 예외를 커스텀예외로 변환하여 처리하도록 했다.

Feature: (BRD-74) 메시지/국제화 파일 추가 작성

1602a65

ttasjwi commented Nov 17, 2024

View reviewed changes

Fix: (BRD-74) AccessToken.checkCurrentlyValid 접근제어자 internal 로 수정

324ba8a

ttasjwi commented Nov 17, 2024

View reviewed changes

ttasjwi merged commit d851ed9 into master Nov 17, 2024
1 check passed

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

Feature: (BRD-74) 액세스토큰 인증 기능 추가 #53

Feature: (BRD-74) 액세스토큰 인증 기능 추가 #53

ttasjwi commented Nov 15, 2024 •

edited by jira bot

Loading

ttasjwi Nov 15, 2024

ttasjwi Nov 15, 2024

ttasjwi Nov 15, 2024

ttasjwi Nov 15, 2024

ttasjwi Nov 15, 2024 •

edited

Loading

ttasjwi Nov 17, 2024

ttasjwi Nov 17, 2024 •

edited

Loading

ttasjwi Nov 17, 2024

ttasjwi Nov 17, 2024


		authorize(HttpMethod.POST, "/api/v1/auth/login", permitAll)

		authorize(anyRequest, authenticated)

Feature: (BRD-74) 액세스토큰 인증 기능 추가 #53

Feature: (BRD-74) 액세스토큰 인증 기능 추가 #53

Conversation

ttasjwi commented Nov 15, 2024 • edited by jira bot Loading

JIRA 티켓

ttasjwi Nov 15, 2024

Choose a reason for hiding this comment

ttasjwi Nov 15, 2024

Choose a reason for hiding this comment

ttasjwi Nov 15, 2024

Choose a reason for hiding this comment

ttasjwi Nov 15, 2024

Choose a reason for hiding this comment

ttasjwi Nov 15, 2024 • edited Loading

Choose a reason for hiding this comment

ttasjwi Nov 17, 2024

Choose a reason for hiding this comment

ttasjwi Nov 17, 2024 • edited Loading

Choose a reason for hiding this comment

ttasjwi Nov 17, 2024

Choose a reason for hiding this comment

ttasjwi Nov 17, 2024

Choose a reason for hiding this comment

ttasjwi commented Nov 15, 2024 •

edited by jira bot

Loading

ttasjwi Nov 15, 2024 •

edited

Loading

ttasjwi Nov 17, 2024 •

edited

Loading