스프링 시큐리티 간단한 질문입니다.

Question

&#64;Component public class JwtAccessDeniedHandler implements AccessDeniedHandler { &#64;Override public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException accessDeniedException) throws IOException, ServletException { response.sendError(HttpServletResponse.SC_FORBIDDEN); } } 이 코드 그리고,&#64;Component public class JwtAuthenticationEntryPointHandler implements AuthenticationEntryPoint { &#64;Override public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException { response.sendError(HttpServletResponse.SC_UNAUTHORIZED); } } 1)이 코드 왜 필요한 것일까요? 여기서 질문 포인트는 그냥 기본 AccessDeniedHandler 와 AuthenticationEntryPoint 가 알아서 UnAuthorized 에러, Forbidden 상태 잘만 반환해 주는데 왜 굳이 위 처럼 구현을 하나 더 하였을까요??2)같은 맥락입니다. JwtAuthenticationProvider 를 언제 따로 만드는 게 좋은 가요?? JwtUserDetails만 UserDetailService 를 상속받게 하고 &#64;Service로 빈 등록만 해주면 DaoAuthenticationProvider 가 알아서 해주는데... 따로 provider 만드는 경우는 언제가 좋은가요??

도깨비 요술망치 · Answer

1) 접근 제한 처리, 인증 처리 과정을 다양하게 구현하기 위해서 구현체를 만듭니다. 가령 쿠키/세션/헤더 등에 추가적인 행위를 하고 싶은 경우에 말이죠.2) 마찬가지로, JwtAuthenticationProvider 를 구현하여 jwt 토큰을 파싱하고 인증을 수행하는 과정을 원하시는 방향으로 커스텀할 수 있습니다. 가령 암호화된 jwt 토큰 sub 부분을 복호화 하는 코드를 추가하는 등 말이죠.

스프링 시큐리티 간단한 질문입니다.

1개의 답변

Q&A 목록