스프링부트 3.14버전 이용에 따른 시큐리티 정적 리소스 ignore

Question

안녕하세요 스프링을 3버전으로 올리면서 시큐리티 6.3? 이상 버전을 처음 써보는데, 기존에 url path에 대해서는 requestmathcers permit all 이 잘되는데 정적 리소스에 대해서만 401 에러가 발생하네요.. 인터넷에 나와있는 정적 자원 무시 코드를 이용해봤는데도 아래와 같이 계속 에러가 나네요.. 코드에 어느 부분이 문제가 될까요??public class SecurityConfig { private final CorsConfig corsConfig; private final JwtAuthenticationEntryPoint jwtAuthenticationEntryPoint; private final JwtAccessDeniedHandler jwtAccessDeniedHandler; private final JwtService jwtService; private final UserRepository userRepository; private final UserService userService; private final RedisUtils redisUtils; private final ObjectMapper objectMapper; private final OAuth2LoginSuccessHandler oAuth2LoginSuccessHandler; private final OAuth2LoginFailureHandler oAuth2LoginFailureHandler; private final CustomOAuth2UserService customOAuth2UserService; &#64;Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http .csrf((csrf) -> csrf.disable()) //csrf 공격 막는것 불필요(rest api는 stateless) .formLogin((formLogin) -> formLogin.disable()) //formlogin 사용x .httpBasic((httpBasic) -> httpBasic.disable()) //기본 설정 사용 x, 요청 헤더에 id, pw를 보내는 방식임 .addFilter(corsConfig.corsFilter()) // 정의한 cors 허용 .exceptionHandling((exceptionHandling) -> exceptionHandling .authenticationEntryPoint(jwtAuthenticationEntryPoint) //인증없이 보호된 리소스 접근시 401 반환 .accessDeniedHandler(jwtAccessDeniedHandler) //인가처리 실패시 403 반환 ) // 시큐리티가 세션을 만들지도 사용하지도 않음. .sessionManagement((sessionManagement) -> sessionManagement.sessionCreationPolicy(SessionCreationPolicy.STATELESS) ) // 특정 URL에 대한 권한 설정 .authorizeHttpRequests((authorizeRequests) -> { authorizeRequests .requestMatchers(&#34;/&#34;,&#34;/index.html&#34;,&#34;/oauth2/sign-up&#34;,&#34;/css/**&#34;,&#34;/images/**&#34;,&#34;/js/**&#34;,&#34;/favicon.ico&#34;, &#34;/h2-console/**&#34;).permitAll(); authorizeRequests.anyRequest().authenticated(); }) .oauth2Login(oauth2Login -> oauth2Login .successHandler(oAuth2LoginSuccessHandler) // 동의하고 계속하기를 눌렀을 때 Handler 설정 .failureHandler(oAuth2LoginFailureHandler) // 소셜 로그인 실패 시 핸들러 설정 .userInfoEndpoint(userInfoEndpoint -> userInfoEndpoint.userService(customOAuth2UserService) // customUserService 설정 )); return http.build(); } &#64;Bean public WebSecurityCustomizer webSecurityCustomizer() { // antMatchers 부분도 deprecated 되어 requestMatchers로 대체 return (web) -> web.ignoring().requestMatchers(&#34;/static/**&#34;); } // Provider에 설정할 passwordencoder &#64;Bean public PasswordEncoder passwordEncoder() { return PasswordEncoderFactories.createDelegatingPasswordEncoder(); } }프로젝트 구조는 아래와 같습니다.

신입개발자n · Answer

authorizeHttpRequests() 쪽에서 authorizeRequests.antMatchers("/static/**").permitAll(); 이렇게 해보시는건 어떨까요 ?

초무쿤 · Answer

web.ignoring().requestMatchers(&#34;/static/**&#34;); 부분의 string 부분이 ant pattern이라 그런거 같은데욤 new AntPathRequestMatcher(&#34;/admin/**&#34;) 객체를 넘겨주는 메서드도 deprecated 됬는지 모르겠는데.. Spring boot 3.xx 는 아직 눈팅을 더 해봐야될듯;

집킨 · Answer

/static/**대신/oauth2/** 로 해보세요

カワウソ · Answer

/oauth2/sign-up 과 /oauth2/sign-up.html 은 아예 다른 요청WebSecurity Ignore도 가능하나 스프링 부트 3 기준에서는 PermitAll 을 권장함 (어떤 방식이든 관계없음)/static/** 라는 의미가 요청 URI 기준이지 클래스패스의 리소스 기준이 아님

드리데이 · Answer

정적리소스를 가장 앞단에서 permitAll 또는 ignore해주시고,만약 부분권한이라면 permitAll신경써주시고cors 설정하시면 별도로 예외 처리 해주시면 됩니다

스프링부트 3.14버전 이용에 따른 시큐리티 정적 리소스 ignore

5개의 답변

기술 목록