Spring Security 와 JWT 질문입니다.

Question

안녕하세요.이제 개발 공부를 시작한 학생입니다.이번에 Security 와 Jwt 에 대해서 배웠는데, 실습 간 문제가 발생하여 부끄럽지만,,, 질문드립니다.문제의 핵심은 "토큰을 헤더에 담아서 요청했는데, 왜 토큰 값이 전달되지 않는가 ?" 입니다...먼저 코드 보여드리겠습니다.WebSecurityConfig @Bean public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { // CSRF 설정 http.csrf((csrf) -> csrf.disable()); http.sessionManagement((sessionManagement) -> sessionManagement.sessionCreationPolicy(SessionCreationPolicy.STATELESS) ); http.authorizeHttpRequests((authorizeHttpRequests) -> authorizeHttpRequests .requestMatchers(PathRequest.toStaticResources().atCommonLocations()).permitAll() // resources 접근 허용 설정 .requestMatchers("/").permitAll() // 메인 페이지 요청 허가 .requestMatchers("/user/**").permitAll() // '/user/'로 시작하는 요청 모두 접근 허가 .anyRequest().authenticated() // 그 외 모든 요청 인증처리 ); http.formLogin((formLogin) -> formLogin .loginPage("/user/login-page").permitAll() .defaultSuccessUrl("/test", true) // 로그인 성공 시 /test 경로로 리다이렉트 ); // 필터 관리 http.addFilterBefore(jwtAuthorizationFilter(), JwtAuthenticationFilter.class); http.addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class); return http.build(); }우선 config 쪽에서는 리소스 및 기본페이지, user 로 시작하는 페이지는 인증 없이 접근 가능하도록 했습니다. .anyRequest().authenticated() <- 이걸 설정하면 나머지 요청들은 인증이 필요하다는 것으로 알고 있습니다.JwtAuthenticationFilter인증 필터는 다음과 같습니다. protected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain, Authentication authResult) throws IOException { log.info("로그인 성공 및 JWT 생성"); response.setContentType("application/json"); response.setCharacterEncoding("UTF-8"); response.getWriter().write(new ObjectMapper().writeValueAsString(new ApiResponseDto("로그인 성공", HttpStatus.OK.value()))); String loginId = ((UserDetailsImpl) authResult.getPrincipal()).getUsername(); UserRoleEnum role = ((UserDetailsImpl) authResult.getPrincipal()).getUser().getRole(); String accessToken = jwtUtil.createAccessToken(loginId, role); String refreshToken = jwtUtil.createRefreshToken(loginId); redisService.saveRefreshToken(loginId, refreshToken); // Access Token 헤더에 저장 response.addHeader(JwtUtil.AUTHORIZATION_HEADER, accessToken); // Refresh Token 쿠키에 저장 Cookie refreshCookie = new Cookie("refreshToken", refreshToken); refreshCookie.setHttpOnly(true); refreshCookie.setSecure(true); refreshCookie.setPath("/"); response.addCookie(refreshCookie); }Access 토큰과 Refresh 토큰을 구현해보고 싶어서 위와 같이 구현하였습니다.login.html

그래서 실제로 위와 같은 페이지를 만들어서 로그인을 시도해보면 로컬스토리지와 쿠키에 각각 토큰이 담기는 것을 확인할 수 있었습니다.그런데 여기서 문제가 있는 게, window.location.href = '/test'; 아것이 동작이 안된다는 것입니다...분명 '/test'; 라고 명시해두면TestController@Controller public class TestController { @GetMapping("/test") public String testPage() { return "test"; } }해당 api 가 호출되어 test 라는 페이지가 떠야하는 게 아닌가요 ? ㅠㅠㅠㅠtest page 는 우선 body 에 "테스트 페이지입니다" 정도로만 제작해두었습니다.왜 안될까,,, 고민하다가 우선 인가 필터 쪽 로그를 찍어서 확인했습니다.JwtAuthorizationFilter @Override protected void doFilterInternal(HttpServletRequest req, HttpServletResponse res, FilterChain filterChain) throws ServletException, IOException { // 헤더에서 토큰 추출 log.info("헤더에서 토큰 추출"); String tokenValue = jwtUtil.getJwtFromHeader(req); log.info("토큰 : " + tokenValue); if (StringUtils.hasText(tokenValue)) { // 토큰 유효성 검사 if (!jwtUtil.validateToken(tokenValue)) { log.info("Token Error"); return; } Claims info = jwtUtil.getUserInfoFromToken(tokenValue); try { setAuthentication(info.getSubject()); } catch (Exception e) { log.error(e.getMessage()); return; } } else { log.info("토큰이 없습니다."); } filterChain.doFilter(req, res); }이와 같으며, 로그인 성공 후 window.location.href = '/test'; 동작할때와 그냥 주소창에 localhost8080/test 로 접근해 본 결과로그가 이렇게 찍히는 겁니다...대체 왜 토큰이 없는 걸까....분명 로컬 스토리지에 Access Token 저장된 거 개발자 도구로 확인했고, 이를 다시 Header 담아서 전송하는 것까지 login.html 쪽에 구현했다고 생각했는데,,, 이게 의도한 방향대로 흘러가질 않습니다.대체 왜 토큰이 비어있으며, test 라는 페이지에 접속하지 못하는 걸까요...제가 놓친 부분이 있을까요 ?

FeelingXD · Answer

JwtAuthorizationFilter 에서 req 의 로그를 보셔야할거 같습니다. 1. req 에서 헤더에 token 정확하게 넘어오는지 log를 확인해보시고 두 가지를 생각해보셔야 할 것 같습니다.넘어 오는경우 : 파싱의 문제 넘어 오지않는경우 : 프론트에서 헤더에 담는 과정 누락

scissors hand · Answer

/test 로 직접 접근할 때는 access token을 쿠키에서 가져와야 합니다.refresh token과 동일하게 access token 도 쿠키로 구워서 자동으로 전달되도록 해줘야 합니다.ajax에 header 설정한 내용은 ajax 호출시에나 전달되겠고 페이지 새로고침이나 페이지 이동을 하면 ajax header 설정한 내용도 사라집니다.SPA에서야 page routing시 클라이언트에서 local storage에서 access token 꺼내오고 인증 확인하지만, 지금처럼 page를 server쪽에서 렌더링하는 방식이면 인증 체크를 하면 클라이언트 local storage에 뭐가 있는지 알 방법이 없습니다.

FeelingXD · Answer

추가적으로 토큰을 쿠키로 보내는것은 좋아보이지 않습니다.

모코코는슬퍼 · Answer

우선 질문 당시에는 req 에서 토큰 자체가 넘어오질 않았습니다.log 로 찍어보니 req 에서 토큰 다 넘어온 것을 확인했고, 인가필터도 모두 통과한 것을 확인했습니다.그러나 로그인 성공 후 리다이렉션 window.location.href = '/test';이것이 실행되면 해당 컨트롤러까지는 진입하는 것을 log 로 확인하였는데, 페이지 로드가 안됩니다...개발자 도구 탭으로 보면 로컬스토리지에 토큰이 잘 저장되어 있는 것을 확인했는데, 해당 페이지에 넘어가지질 않네요,,,우선 구현한 login의 html 코드는 아래와 같습니다.저는 단순하게 개발자 도구에 찍혀있는 토큰이 존재하면, 인증이 필요한 페이지에는 인가 필터를 타고 접근할 수 있을 줄 알았는데이게 아니라 새로운 페이지를 요청할 때는 매순간 토큰을 로컬스토리지에서 꺼내고, 이를 헤더에 담아서 인증이 될 수 있도록 해야하는 걸까요 ?

모코코는슬퍼 · Answer

페이지에서 특정 버튼을 눌렀을 때 Api 요청이 가도록 요구사항을 수정하였습니다.해당 로직을 수행했을 때 기대사항은 요청헤더에 토큰을 전달하고, 해당 토큰으로 검증을 거치는 것입니다.실제로2024-02-26T14:31:24.699+09:00 INFO 59767 --- [nio-8081-exec-3] JWT 검증 및 인가 : 토큰 : eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0NiIsImF1dGgiOiJPV05FUiIsImlhdCI6MTcwODkyNDY0NiwiZXhwIjoxNzA4OTI4MjQ2fQ.TLjHCc1_ZtTbzGb-2c0ueLmxgCyxQf1rUQs4DkqMv_c 2024-02-26T14:31:24.706+09:00 INFO 59767 --- [nio-8081-exec-3] JWT 검증 및 인가 : 인증 성공 2024-02-26T14:31:24.706+09:00 INFO 59767 --- [nio-8081-exec-3] JWT 검증 및 인가 : 인증 객체 생성 Hibernate: /* */ select u1_0.id, u1_0.email, u1_0.login_id, u1_0.password, u1_0.role from users u1_0 where u1_0.login_id=? 2024-02-26T14:31:24.722+09:00 INFO 59767 --- [nio-8081-exec-3] TestController : test controller로그를 보면 test controller 를 호출하는 거까지 확인할 수 있었습니다.그러나 페이지는 로드되지 않고, 메시지에 html 코드만 출력이 됩니다.이렇게 개발자 도구에만 html 코드가 명시되네요,,,제가 무엇을 놓친 걸까요..ㅠㅠㅠ

Spring Security 와 JWT 질문입니다.

5개의 답변

#security 목록