[Spring - Security] 스프링 시큐리티(JWT) 플로우(시나리오) 에 대해 제가 이해한 것이 맞는지 확인해주실 수 있으실까요?

Question

스프링 시큐리티 사용에 대해 클래스 명도 너무 길고,, 그냥 대충대충 눈도장만 찍어가면서 억지로 구현하다가 뭔가 깨달음을 얻어서제가 생각한 시나리오가 맞는지 혹시 틀리다면 조언 부탁드립니다.프론트(클라이언트) 에서 요청이 들어온다.모든 요청을 받는 단일 DispatcherServlet 으로 도달해야 작성된 서버 로직이 활용되며, 프론트와 스프링 사이 필터에서 여러 인증 과정이 실행된다.유저가 토큰을 보내면 UsernamePasswordAuthenticationFilter 앞단의 커스텀 AuthenticationFilter 에서 토큰을 파싱 후 일전에 구현한 UserDetailsService 의 loadUserByUsername 으로 DB에 접근하여 최근의 유저 정보를 불러오고, SecurityContextHolder 에 해당 정보를 저장한다. (토큰에 문제가 없고 유저를 파싱하는 것에 성공했다면)컨트롤러 단에서 Authentication 을 주입 받거나, &#64;AuthenticationPrincipal 을 통해 유저를 불러올 때는 SecurityContextHolder 의 유저 정보를 불러온다.대충 이해한 시나리오는 이렇게 진행되는 것 같은데, 이에 대해 질문이 몇 가지 있습니다..(혹시 이 부분에서 틀린 부분이 있다면 지적 대환영입니다 부탁 드립니다)4번 방법으로 유저 객체를 불러와 로직을 수행하게 될 경우, 해당 토큰의 유저 객체에 대해 바로 접근할 수 있어 보이지만, 최근에 수정된 정보에 대해서는 반영이 되지 않을 것 같습니다. 예를 들어 유저가 닉네임을 변경하고 이후 아무 활동도 하지 않는다면, SecurityContextHolder 에는 변경 이전의 정보만 저장되어 있어 이전 닉네임으로 표기가 될 것 같습니다. (DB를 다시 거치지 않았기 때문에) 혹시 SecurityContextHolder 가 내부적으로 어떤 변경이 일어나면 변경된 정보도 반영하여 다시 갖고 있나요? 아니면 제 추측대로 최근 변화된 정보에 대해선 반영하지 못한 상태로 가지고 있을까요?앞선 질문의 문제 때문에 실제 어떤 로직을 수행하려면 주입 받은 UserDetails 객체에 대해 다시 한번 DB 에서 해당 객체를 조회하고 해당 객체로 로직을 수행하는 것 같습니다. 다만 이렇게 된다면 왜 SecurityContextHolder 가 필요한지 모르겠습니다. 단순 토큰으로 주고 받고, 로직 내에서 토큰을 파싱하고 저장된 id 로 DB를 조회하여 수행하면 될 것 같은데, SecurityContextHolder 의 존재 의의는 무엇인가요?뭔가 사용하면서도 너무 뿌옇고 어려웠는데 살짝 이해가 되는 것 같아 기분이 좋네요. 혹시 제 설명 혹은 질문에 지적도 너무 감사히 받겠습니다. 항상 감사 드립니다!!

배고팡팡 · Answer

이전 닉네임인 것이 너무 바꾸고 싶은상황이라면 닉네임 변경후에 토큰을 재발급 하면 될것 같은데요컨텍스트 홀더는 해당 유저의 id값만 필요하면 디비 조회하지 않고 사용할 수 있다거나 현재 로그인된 유저와 조회하는 유저를 구분하거나 role을 사용해서 뭔가를 한다거나 할 수 있을 것 같아요

예예당 · Answer

loaduser쓰지말고 인증 객체를 만들어서 집어 넣어주는게 더 나은 방법처럼 보여요.

[Spring - Security] 스프링 시큐리티(JWT) 플로우(시나리오) 에 대해 제가 이해한 것이 맞는지 확인해주실 수 있으실까요?

2개의 답변

Q&A 목록