Spring boot SecurityContextHolder를 반드시 사용해야 할까요?

Question

안녕하십니까. 클릭해 주셔서 감사합니다. 제목이 다소 자극적이라 불쾌하셨다면 죄송합니다. 저는 현재 UsernamePasswordAuthenticationFilter를 상속하는 커스텀 필터를 생성하여 로그인에 대한 처리를, BasicAuthenticationFilter를 상속하는 커스텀 필터를 생성하여 로그인 요청을 제외하고 클라이언트로 부터 넘겨 받은 request의 JWT에서 사용자 ID를 추출 및 검증(DB) 후 Controller로 전달하는 로직으로 프로젝트를 진행중입니다. Spring Filter chain과 SecurityContextHolder를 학습하고 적용하는 과정에서 몇 가지 의문이 들어서 몇 가지 질문 드리고자 합니다.질문드릴 내용은 아래와 같습니다. 로그인을 제외한 request는 BasicAuthenticationFilter를 상속하는 커스텀 필터에서 JWT를 추출하여 값을 DB에 접근하여 해당사용자가 진짜 존재하는 사용자인지 체크(userEntity를 구해옴)를 하고 있습니다. JWT에서 사용자 ID를 추출할때 HMAC512의 secret은 서버에서만 알고 있기 때문에 DB에 접근하여 userEntity를 구해오는 로직은 불필요한 것인지 궁금합니다.만약 불필요한 로직이라고 한다면 요청하는 사용자의 정보가 비즈니스 단(service)에서 필요한 경우에는 어떻게 처리하는 것이 바람직 할까요? (필터에서 userEntity객체를 만들어서 Controller로 넘기는 것 보다 JWT에서 추출한 사용자의 정보만 Contoller로 넘겨서 처리하는 것이 바람직 한 것인지 궁금합니다)SecurityContextHolder의 범위는 ThreadLocal이라고 학습한 바 있습니다. 그렇다고 한다면 2.번의 질문에서 각각의 request에 대해 SecurityContextHolder영역을 사용하여 DB에 접근하는 방법을 대체 할 수는 없다고 판단이 되는데 맞는지 궁금합니다.감사합니다. 새해 복 많이받으세요.

집킨 · Answer

뭐 정말 정책이 빡세면 요청마다 존재하는 사용자 인지 체크할순 있지만 일반적인 상황에선 jwt에 설정한 expire동안은 인증한 상태가 유지된다는 정책으로 개발합니다

jghjghjg · Answer

안녕하세요! 스프링 시큐리티 관련 질문에 대해 답변드리겠습니다.1. **JWT와 DB 검증 필요성**: JWT는 자체적으로 유효성 검증이 가능합니다. 서버가 알고 있는 비밀키(HMAC512)를 이용해 서명되었기 때문에, JWT가 변조되지 않았다면 그 안의 사용자 ID는 신뢰할 수 있습니다. 그러나 사용자가 여전히 시스템에 존재하는지, 권한이 변경되지 않았는지 등을 확인하기 위해서는 DB 접근이 필요할 수 있습니다. 이는 시스템의 보안 요구사항과 성능 요구사항에 따라 결정됩니다.2. **비즈니스 로직 처리**: 필터에서 JWT를 파싱하여 사용자 정보를 추출하고, 이 정보를 컨트롤러나 서비스 레이어로 전달하는 것은 일반적인 패턴입니다. 사용자 정보가 비즈니스 로직에서 필요한 경우, 필터에서 추출한 정보를 SecurityContext나 요청의 속성으로 설정하여 후속 처리 과정에서 사용할 수 있습니다.3. **SecurityContextHolder의 범위**: 맞습니다, SecurityContextHolder는 기본적으로 ThreadLocal을 사용하여 현재 스레드의 인증 정보를 저장합니다. 따라서 각각의 요청은 독립적인 SecurityContext를 가지며, 이를 통해 요청마다 사용자의 인증 정보를 관리할 수 있습니다. 이 맥락에서, SecurityContextHolder를 사용하여 각 요청에 맞는 사용자 정보에 접근하고 DB에 접근하는 것은 가능합니다.스프링 시큐리티는 매우 유연하고 확장 가능한 보안 프레임워크이므로, 프로젝트의 요구사항에 맞게 적절한 구성을 선택하는 것이 중요합니다. 새해 복 많이 받으시고, 프로젝트 진행에 성공을 기원합니다!

k3po · Answer

3번 질문의도?를 잘 모르겠는데 SecurityContext 에 사용자 권한 정보를 저장하여 엔드포인트 당 접근권한 등을 자동으로 관리할 수 있기 때문에, 이를 직접 구현하실 것이 아니라면 SecurityContextHolder 를 사용하는 것이 훨씬 편리하지 않을까 합니다.

Spring boot SecurityContextHolder를 반드시 사용해야 할까요?

3개의 답변

Q&A 목록