스프링 부트 토큰 받아도 되는, 안 받아도 되는 api 설정 어떻게 하나요?

Question

이제 시큐리티 공부하는 중이라 잘 모름 감안 부탁드립니다..질문은 말 그대로 토큰을 받아도 되는 api와 안 받아도 되는 api 설정이 따로 있는 건지 하는 것임니다..이전 플젝에서 팀원분이 하시는 거 보니 controller의 인자로 authentication을 주입 받는 api는 토큰을 보내야 하고, 인자로 안 받으면 안 되도록 구현하셨던데제가 처음부터 직접 해보니 filterchain을 config하는 클래스에서 접근 허용할 api와 아닌 api를 하드코딩으로 설정하더라규요..?제 질문은 이렇습니다.혹시 authentication을 컨트롤러 인자로 선언하는 것만으로 토큰을 받아야 하는 api이고, 선언하지 않으면 안 받아도 되는 api가 되도록 설정하는 방법이 따로 있나요? 아니면 그냥 자연스레 되는 것인가요?이렇게 인자로 auth를 받아서 구분하는 방법이 현업에서도 쓰이는 방법인가요?앞서 말씀드렸던 대로 하드코딩으로 인증을 받지 않아도 되는 api를 모두 적어야 하는 것인가요?고수 분들의 친절한 답변 부탁드립니다 ㅠㅠ

vrerv · Accepted Answer

1 > authentication 을 선언해도 token 을 안올려 호출하면 authentication 이 null 이 될 것입니다. 따라서 Authentication 인자 선언에 따라 api 가 토큰을 받아야 되고 안받아야 되는 것은 아닙니다.2 > 1번 질문의 답처럼 할수 없기 때문에 안쓰입니다.3 > 어떻게 설정했는지는 모르겠지만, 설정시 path matching 을 통해 설정할 수 있으므로 굳이 하나씩 나열하지 않아도 됩니다. 설계시 /public/api 부분은 모두 허용하고 /api 부분은 모두 인증이 필요하게 하는 등의 방법이 있습니다. 필요에 따라 해당 부분을 application.properties 에서 설정하도록 처리해도 될 것이고요.

옹냥 · Answer

소스 파일 내에 적는 방법도 있겠지만...현업에서 그렇게 소스내에서 관리를 하면 제외시킬 api가 추가될 때 마다 서버를 재부팅 해야겠죠?우선 파일에 api 리스트 등 정보를 기록하고 서버가 올라갈때 파일을 읽어서 해당 파일 기준으로 구분하는 방법이 있구요.파일에도 하드코딩하기 귀찮아! 싶으면 db에 저장해두는것도 방법입니다.어쨌든 그것도 디비든 파일이든 열어서 등록해야하잖아! 싶으면 웹사이트에서 관리할 수 있도록 하는 방법이 있습니다.보통 웹사이트에서 디비로 관리 > 파일로 떨구기 > 서버 기동 시 파일 읽어서 올리기이런 식으로 동작하고, static 등으로 관리하여 운영 중 수정 시 파일을 다시 떨구고 파일을 다시 읽게하도록 하는 로직이 필요합니다.

메로나한입만 · Answer

토큰이 무슨 토큰을 말하는건가요...?

하이이잉 · Answer

컨트롤러에서 @Authenticationprincipal 말씀하시는거면 토큰에 대한 검증이 안되어있어 필터에서 토큰 발급 및 검증 처리하고 하는게 좋죠/user/**/ 같은 와일드 카드도 있어서 한번에 처리도 가능하고요

스프링 부트 토큰 받아도 되는, 안 받아도 되는 api 설정 어떻게 하나요?

4개의 답변

기술 목록