스프링 시큐리티를 통한 다중 인증 구현 질문드립니다.

Question

안녕하세요.SPA프론트, 스프링부트, 스프링시큐리티, JWT를 사용하는 백엔드 환경인데 멀티 인증을 동적으로 구현하려고 합니다.예를 들면 폼로그인, SMS 인증, OTP 인증 등이 순차적으로 진행되는데설정을 통해 순서, 사용여부 등을 조정할 수 있게 하려고 해요.그래서 아래와 같이 개발을 구상중인데 전반적인 의견 spring security를 제대로 사용하고 있는 것인지.spring security 사용과 별개로 논리나 구성이 일반적이지 않거나 이상하진 않은지.여쭙고 싶어 글올립니다.authentication과 authentication provider를 각 인증 방식에 맞게 커스텀 구현하고각 인증 REST API 호출시 해당 authenticaiton과 authentication provider를 통해 인증합니다.예를 들면&#64;postmapping(/auth/otp)OtpAuthenticaiton.set(OTP 번호)result &#61; AuthenticationManager.authenticate(OtpAuthenticaiton) &#61;> OtpProvider 실행if( result 이상없음 ) JWT 생성 및 response header에 담아서 반환이렇게 하나의 인증 API가 구성될 것 같습니다.인증 API에서 securityContext에 setAuthentication을 하지는 않고JWT를 통한 setAuthentication은 security filter 설정으로 하려고 해요.또한 인증 목록을 JWT에서 관리하려고 합니다.예를 들면 pass_list 라는 claim을 추가하고 값은 {form: true, otp: true, sms: false}와 같이 작성하는 거에요.그리고 security filter에서 JWT의 pass_list를 검사하게 하여 모두 true인 경우에만 security context에 set하게 하면 어떨까 합니다.아직 구현하기 전인데 지적이나 조언 많이 해주시면 감사하겠습니다.

스프링 시큐리티를 통한 다중 인증 구현 질문드립니다.

0개의 답변

기술 목록