msa에서 api gateway 사용(spring cloud gateway)

Question

안녕하세요! api gateway 인증에 대해 궁금한 게 있어서 여쭤보려고 하는데요.gateway 도입하기 전에는 member service에서 AuthenticationPrincipal 객체를 이용해서 현재 로그인한 유저의 이메일 정보를 받아왔는데 gateway에서 토큰을 검증할 경우 AuthenticationPrincipal 객체는 사용하지 못하는 것 아닌가요?제가 생각해 낸 방법은 gateway에서 토큰을 검증하고 이메일 정보를 가지고 와서 다른 서비스로 넘겨주거나 (이럴 경우 보안에 취약할 것 같고 jwt를 사용하는 의미가 없어보입니다...), gateway에서 토큰 유효성만 검증하고 토큰 그대로 각각 microservice로 넘겨주는 방법입니다. (이 경우는 모든 서비스에서 jwt 관련 코드가 들어가야 할 것 같은데 코드가 중복되면 gateway를 쓰는 이유가 퇴색될 것 같습니다.)정리를 하자면, api gateway &#43; jwt를 사용할 때 각각의 service에서 로그인한 유저의 이메일은 어떻게 가져올 수 있는지가 궁금합니다.구글링 해보았을 때는 대부분 api gateway에서 token을 인증하는 것까지에 대한 글만 있고, 유저 정보를 어떻게 넘기는 지에 대해서는 글이 많이 없어서 여쭤봅니다! 아니면 저 방법 말고 아예 다른 방법으로 접근해야 하는 걸까요?

crnmst · Answer

먼저 JWT를 생성하고 인증하는 마이크로 서비스를 만듭니다. 이 서비스는 회원가입, 로그인 등의 기능을 담당하며, 사용자 인증 후 JWT를 발급합니다.Spring Cloud Gateway에서 JWT를 검증하는 필터를 추가합니다. 이 필터는 사용자가 요청한 API에 따라 JWT를 검증하고, 유효한 경우 요청을 마이크로 서비스로 전달합니다.마이크로 서비스에서는 JWT에 포함된 사용자 정보를 추출하여 요청 처리에 사용합니다.Spring Cloud Gateway에서 JWT를 검증하는 필터를 추가하는 방법은 다음과 같습니다.Spring Cloud Gateway 의존성 추가 org.springframework.cloud spring-cloud-starter-gateway org.springframework.security.oauth.boot spring-security-oauth2-autoconfigure 2.3.5.RELEASE Gateway 설정 파일에 JWT 필터 추가spring: security: oauth2: resourceserver: jwt: jwk-set-uri: https://jwt-issuer/oauth/token_keys zuul: routes: api-docs: path: /api/docs url: https://petstore.swagger.io/v2/api-docs sensitive-headers: - Cookie - Set-Cookie security: OAuth2: name: oauth2 authorization-header-name: Authorization prefix: Bearer위 설정에서 jwt.jwk-set-uri는 JWT 발급 서버에서 공개키를 조회하는 URI를 지정합니다. security.OAuth2는 JWT 필터를 사용할 API의 경로와 인증 헤더 이름을 지정합니다.위와 같이 설정하면, Spring Cloud Gateway는 사용자가 요청한 API가 api-docs인 경우 Authorization 헤더에 Bearer 접두사가 붙은 JWT를 검증하고, 유효한 경우 요청을 마이크로 서비스로 전달합니다. 마이크로 서비스에서는 JWT에 포함된 사용자 정보를 추출하여 요청 처리에 사용할 수 있습니다.참고로, 위 예제에서는 Swagger API 문서를 외부에서 가져오는 경우를 가정했습니다. 따라서 sensitive-headers에 Cookie와 Set-Cookie를 추가하여 Swagger UI에서 쿠키를 전송하지 않도록 설정했습니다. 이 부분은 사용자의 요구에 따라 다르게 설정할 수 있습니다.

wharup · Answer

API Gateway나 서비스가 JWT를 검증하는 것과JWT의 내용을 Spring Security로 올리는 것은 별개입니다.세션 DB에서 Authentication을 만들건 JWT에서 만들건Spring Security에 정상적으로 올려주면 AuthenticationPrincipal로 접근 가능합니다.밑에 참고하시면 될 것 같습니다.https://velog.io/@sonaky47/Spring-Security-Jwt-토큰정보로-필터링-된-유저정보를-컨트롤러단에서-AuthenticationPricipal-어노테이션을-통해-가져오는법

msa에서 api gateway 사용(spring cloud gateway)

2개의 답변

Q&A 목록