스프링 시큐리티 간단한 질문입니당. 헷갈리는게 있습니다.

Question

스프링 시큐리티에서는 특정 역할을 갖는 사람들을 판단해서 들여보내줄지 안들여 보내줄지 결정을 하잖아요??이렇게 특정 권한을 가진 사람만 특정 페이지에 접근이 가능하다는 사실은 알았습니다.근데 궁금한 점이 있는데 A라는 사람과 B라는 사람이 둘다 USER라는 권한이 있고 USER만 접근 가능한 URL&#64;GetMapping (&#34;/user/info&#34;)이 있고 그 URL에는 사용자 자신의 개인정보가 있다고 한다면 1번 A라는 사람과 B라는 사람이 서로의 개인 정보를 볼 수 있다. 둘다 USER라는 권한을 가지고 있기 때문이다.2번 A라는 사람은 B의 개인정보에 들어갈 수 없다. 왜냐하면 이미 A라는 권한으로 로그인을 하였기 때문에 A의 개인정보 밖에는 볼 수 없다. B의 개인정보를 보는 URL로 들어가도 자신의 URL 이 나온다. /user/info라는 같은 주소이기 때문이다. 만약 B의 개인정보를 보고 싶다면 B로 로그인을 하고 시도해야 한다.당연히 2번이져??

심심하다능! · Answer

당연히 2번이어야 하죠. 그러나 그것이 시큐리티 권한 부분 때문이 아니고 따로 세부적인 로직을 구현하기 때문입니다. 컨트롤러단, 서비스단 등에서요.

カワウソ · Answer

권한 보다는 인증 주체와 세션에 대해서 찾아보고 이해하셔야 할 것 같습니다.

ykd · Answer

스프링 이전에 동작하는 서블릿 개념과 쓰레드에 대해 알아보시면 이해가 되실 듯 합니다

스프링 시큐리티 간단한 질문입니당. 헷갈리는게 있습니다.

3개의 답변

Q&A 목록