URL 권한 동적 제어..

Question

안녕하세요..특정 권한에 따른 메뉴&#43;메뉴 기능까지 동적으로 제어가 좀 필요한 상황입니다..스프링에서 URL 권한을 동적으로 제어하고, 체크하는건 예제들이 있어 구현 가능한건 이해를 했습니다..선언적인 방식 아닌..그런데,API 레벨에서는 이 동적으로 변경된걸 체크할 수 있겠는데요..프론트엔드에서 로그인할 시점에서의 사용자가 가진 권한의 메뉴 정보와 메뉴 기능 정보를 보내주는 경우는 문제가 없습니다로그인 이후에 관리자가 위에 정보를 변경했을때 기본적인 처리만 가지고는 이에 대한 변경이 어려워 문의드리네요즉, 사용자가 로그인 이후 관리자가 특정 메뉴&#43;메뉴의 기능을 제한했을때앞서 먼저 로그인한 사용자에게 메뉴 기능(버튼)을 hidden할 방법이 기본적으로는 없어보입니다..API는 권한 없음 에러 처리는 할 수 있겠는데 문제의 소지가 있긴해 보여서요..사용자가 화면 이동없는 상태에서 관리자가 권한 제거를 했을때 API에서 오류 처리되는건 문제가 없겠는데..그 이후 화면이동에서도 그대로 버튼이 노출이 될텐데...근본적으로 위에 대한 버튼을 hidden 시키려면 모든 요청의 응답에 메뉴&#43;메뉴 기능 권한 정보를 내 보내주어야하는 방법외엔 없어보입니다. 웹소켓 생각도 잠깐 들었는데 조금 이상해 보이기도하고 경험이 없어서인지 맞는 방향인지 감이 잘 안오네요혹시 이와 관련해 고민, 해결해보신분 계실까요?

캐티 · Accepted Answer

세션에 계정 타입을 저장했다면 다시 로그인 하지 않는 한 바뀌지 않을 것이어요. 실시간으로 확인하거나 페이지를 열 때마다 정정할 수도 있겠지만 이렇게 한다면 보안 사고가 날 수도 .. 동적으로 변경을 가하는 것은 중요한 부분이어요. 악의적으로 뚫고 들어와서 털어버리는 경우는 잘 없을 것이지만 말이어요.데이터베이스에서 현재 계정의 타입을 가져온 다음 매번 페이지를 불러올 때 확인하도록 할 수도 있어요. 조인을 걸어서 처음부터 지정된 타입에 메뉴를 보여주도록 할 수도 있겠고요. 하지만 새로 고침을 수행해야 한다는 점에서 권한 제어가 상당하게 불편해지는 점 외에도 고려할 부분이 많은 것 같아요.이런 것은 욕심이지만 서버에 변수나 데이터베이스에 변경이 발생하면 자동으로 트리거 되는 프론트 백엔드 둘 모두 실시간으로 변경이 발생하도록 할 수 있어요. 물론 계정을 중대한 작업에 사용 중인데 트리거를 발동 시켜서 작업 내용을 날려버리도록 만드는 등에 이용자를 화나게 만들면 안되지 않겠나요.실시간으로 권한이 변경되면서 관련한 사용자 인터페이스까지 모두 상호작용 하는 일은 잘 없는 일이어서요. 정말 심한 구현을 살펴보면 권한 변경 트리거에서 그냥 계정 로그아웃을 걸어버리고 처음부터 새롭게 쓰도록 해버려요!결국에는 노력하는 만큼 얻어가는 영역이고, 말씀하신 것 외에도 개발 과정에서 요구 사항이 더 추가되지 않겠나요.

꿈의팝송 · Answer

위 상황에서 권한이 없는 요청시 로그아웃 시키는 방법도 잠깐 생각해 보긴했습니다. 이것도 나쁘진 않아 보이는데 실제 프론트엔드와 협업해 이런 부분 처리한 경험이 있는 분들의 조언을 받고싶네요

URL 권한 동적 제어..

2개의 답변

기술 목록