spring boot로 jwt인증관련 질문이요 ㅠㅠ

Question

현재 개인프로젝트 간단하게 게시판 진행중인데 jwt인증 하고 있는데 chat-gpt도움받아가면서 하고 저도 jwt나름 공부하고 로직도 이해했는데 잘안되네요백엔드쪽은 거이 작성하고 이제 프론트쪽에서 회원가입하고 이제 로그인 하려고 첫번째 ajax에서 jwt 로그인 인증 성공후 그다음 첫번쨰 ajax success안에 한번더 ajax를 작성해서/api/dashboard로 보내려고 하는데 403뜨면서 권한오류가 발생하네요 .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);근데 이부분을 제거하면 잘되더라구 아마 STATELESS 관해 처리를 잘못하는것 같아요 $(document).ready(function() { $('#loginForm').submit(function(event) { event.preventDefault(); var formData &#61; { email: $('#email').val(), password: $('#password').val() }; $.ajax({ type: &#34;POST&#34;, url: &#34;/api/auth/login&#34;, contentType: &#34;application/json&#34;, data: JSON.stringify(formData), success: function(response) { // Redirect or handle login success console.log(&#34;Login successful:&#34;, response); sessionStorage.setItem('jwt', response); $.ajax({ type: &#34;GET&#34;, url: &#34;/api/dashboard&#34;, contentType: &#34;application/json&#34;, beforeSend: function(xhr) { const token &#61; sessionStorage.getItem('jwt'); if (token) { xhr.setRequestHeader(&#34;Authorization&#34;, &#34;Bearer &#34; &#43; token); } else { console.error(&#34;JWT 토큰이 없습니다!&#34;); } }, success: function(response) { sessionStorage.setItem('jwt', response); window.location.href &#61; '/api/dashboard'; }, error: function(xhr, status, error) { console.error(&#34;Access to dashboard failed:&#34;, xhr.responseText); } }); }, error: function(xhr, status, error) { console.error(&#34;Login failed:&#34;, xhr.responseText); } }); }); }); &#64;Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http .csrf().disable() .authorizeRequests() .antMatchers(&#34;/js/**&#34;, &#34;/css/**&#34;, &#34;/images/**&#34;).permitAll() .antMatchers(&#34;/api/auth/**&#34;).permitAll() .antMatchers(&#34;/api/users/register&#34;).permitAll() .antMatchers(&#34;/api/dashboard/**&#34;).hasAuthority(&#34;ROLE_USER&#34;) .anyRequest().authenticated() .and() .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS); http.addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class); return http.build(); } protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { try { System.out.println(&#34;Authorization headeraaaaaaaa: &#34; &#43; request.getHeader(&#34;Authorization&#34;)); String jwt &#61; getJwtFromRequest(request); if (jwt !&#61; null && tokenProvider.validateToken(jwt)) { String email &#61; tokenProvider.getUsernameFromJWT(jwt); UserDetails userDetails &#61; userDetailsService.loadUserByUsername(email); UsernamePasswordAuthenticationToken authentication &#61; new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities()); authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(request)); SecurityContextHolder.getContext().setAuthentication(authentication); } } catch (Exception ex) { logger.error(&#34;Could not set user authentication in security context&#34;, ex); } filterChain.doFilter(request, response); }

벼랑끝에서올라오는중 · Answer

403오류면 권한오류인데 권한부분 확인해보세요. 실제 롤을 userdetailsservice에서 셋팅하는 코드가 있을겁니다

위카룬 · Answer

권한이 ROLE_USER로 로그인되어있는지 확인해보세요!

닉네임없음 · Answer

올려놓으신 소스코드로만 보아서는로그인 후 server -> client 로의 jwt가 전송되는지,/api/dashboard 호출시 실제 server에서 jwt토큰을 전달받았는지,로그인 후 ROLE_USER로 인증정보를 생성하였는지,최근들어 JWT관련 글들이 계속올라와우려되어 아래내용은 노파심에 하는 글이니, 의미는 두지마시길 바랍니다.작성하신글을 보면 주석이 거의 없는 것으로 보아경력이 좀 있으신 분들도 스프링 시큐리티에 익숙하지 않으시면 잘 모르십니다.시큐리티를 활용하여 여러번 제작하였지만 저조차 기억이 잘안나 주석없이 바로 이해하기 어려운 경우도 많습니다.그러한 연유로 소스코드들이 인터넷의 도움이 많이 받은것으로 보이십니다.사실 JWT란게 쉬운게 아닙니다.해보신분은 Refresh Token관련하여 작업하시다가 블로그들 욕좀 하셨을 겁니다. - 높은확률로...JWT란게 사실 구현하는 사람마다 다릅니다.인터넷에서 널려있는 블로그들만 해도 내용이 제각각입니다.버전관련해서도 JWT 라이브러리와 스프링부트 등, 버전의 영향도 받습니다. - 구현체의 내용이 달라질수도 있습니다.특히, 작년만 하더라도 Refresh Token에 대한 규약이라던가 그런것도 없었습니다. 지금은 어떤지 모르겠지만.Refresh Token같은게 필요하게되면, "어떻게 해야되지?" - 이런 단계를 만날수도 있습니다.Access Token에 보완사항으로의 Refresh Token 전략은 애매합니다.Access Token만으로는 불완전하니 Refresh Token이 요구되는것이고사실상 Refresh Token의 필요성을 느낀다면 최초설계시 고려되야 될 것입니다.고려되지 않은 상태로 문제를 직면하면 이전 작성된 소스코드들은대부분 폐기수준으로 수정될 가능성이 높을겁니다.제가 과거 JWT를 rest api기반으로 boilerplate 제작 후 - 부트2.7.x버전요번사업에 실제 넥사크로N 환경에 도입을 해봤습니다. - 본인은 AA로 근무하고 있어 기회가 있었습니다.그러면서 많은것 느끼게 되고 인터넷에 너무 무책임하게 널려있구나. 라는 생각도 들었습니다.최근엔 추가로 부트3.2.3기반으로도 boilerplate를 추가 제작하였습니다. - 3.2.2로 제작 후 3.2.3로 버전만 업요점은 말하자면 JWT를 자바로만 예제 다루듯이 학습 후프론트엔트 환경의 특성 및 설계 방식을 고려하지 않은 상태로 JWT에만 집중하면 위험성을 알게 되었습니다.실제 구현전에 JWT에 대한 이해, 현 상황에 도입이 적절한지도 한번쯤은 고민해 보아야 합니다.예제 정도로만 하신다면 gpt보단 인터넷에 공개된 github 에 등록된 소스들을 찾아 내려받은 후 분석하는게더 좋을수 있습니다. - 단위시간당 열람가능한 소스량 및 분석능력항상에 기여???여러블로그들을 검색 후 조합해서 로직을 창조수준으로 내신다면 자체가 오류일 가능성이 높습니다.왜냐면, 대부분 그런 블로그들은 환경 Spec이 명확하지 않습니다. - 갖다 쓰다 문제생기면 사용자 책임그리고, 시큐리티에 JWT를 적용하게 되면JWT가 스프링부트 환경에서 Filter 에 손을 대므로 단순히 보아도 구현 난이도와난이도에 따른 위험성(=risk)도 자동으로 증가합니다.Filter에 대한 이해와 스프링의 Filter들이 한둘이 아니라서 어떤 Filter들과 상호작용하는가와 스프링의 어떤 Filter Class로 대체(Override)되는지, 어떤 Filter들 사이에 끼워넣어야되는지. 등등 여러가지 사전학습도 필요합니다.세션하고는 구현방식 및 난이도도 많이 차이가 있고, JWT로직자체가 서비스로직이 아닌, Core로직이 되므로가능한 정밀하고 정교하게 설계할수 있도록 해야 할것입니다.프론트엔드와의 연계...JWT 에 대한 발급, 재발급 및 프로세스에 대한 책임을 백엔드시스템이겠지만프론트엔드에선 그 JWT에 대한 사용은 백엔드시스템의 설계 및 의도에 따라 제약이 발생할수도 있습니다.예를 들어 프론트엔드에서 javascript 기반이라면 async와 await, Promise를 한번쯤을 고려해야 될수도 있다... 이런것이죠권장하는 방향은...JWT 기본 메커니즘을 이해한 상태에서 설계 후 구현해야 됩니다.사실 시큐리티에 JWT를 탑재하려면실제 과거엔 손도 못대게 한 서블릿 패키지의 Filter라는 것에설계자의 사상과 철학을, 영혼도 조금. 주입해서 최초 예정된 또는 의도하신 시스템에 적합하도록커스터마시징을 해야 될것입니다.두서가 없었지만 한단계 발전하시라는 의미로 글을 긁적해봅니다.써놓고 다시 보니 내가 꼰대 같네... 삭제하기 아까워서 버튼 누릅니다.

kkang01 · Answer

.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS) 제거하고 된다는 건 처음 로그인 인증 성공 후 Authentication객체가 SecurityContext에 남아 있어서 그런것 같은데요.stateless면 클라이언트가 자원에 접근할 때마다 SecurityContext가 새로 생성되기 떄문에 인증 실패 후 403코드 반환하는 것 같습니다.filter 디버깅 해보세요..

spring boot로 jwt인증관련 질문이요 ㅠㅠ

4개의 답변

기술 목록