스프링 (jwt) 관련 간단 질문

Question

안녕하세요 코린이 스프링과 jwt 관련해서 간단한 질문드립니다. 1. 인터넷이나 강의의 예제를 들어보면, 거의다 OnceperRequestFilter를 상속받는 jwt필터를 만들어서, 매 요청마다 jwt를 읽고 SecurityContextHolder에 인증 객체를 집어넣고 있습니다.그런데 JWT를 검증하는건 상당한 비용이 든다고 하는데, 로그인 상태를 확인할만한 요청 에서만 이 과정을 진행하는게 좋지 않나요? 2. 스프링 시큐리티를 사용한 프로젝트는 보통 UserDetails객체에 필드를 추가해서 사용자 객체로 사용하는걸로 알고 있는데, 실무에서도 이렇게 하는지 아니면 별도의 1:1관계 테이블을 두는지 궁금합니다!! (케바케겠지만)

고등어통조림 · Answer

로그인상태를 확인할만한 요청이란게 뭔가요?

고등어통조림 · Answer

https://january-diary.tistory.com/entry/Spring-프로젝트-실행-순서제가 알기론 스프링 서블릿 실행순서 상앞단에서 실행되는 초기화? 요청 이런 필수적으로 실행되는 부분에 필터를 넣은 거고 그래서 걍 서버를 start 시키면은 반드시 동작하는 부분에 필터를 위치시킨 걸로 알고 있어요그래서 프로젝트 전체를 일괄적으로 적용해야 되는 개념들은 이 필터를 통해서 설정을 하는 것 같고…어차피 서버를 start 하면 반드시 실행되어야 하는 부분에 필터를 위치시킨거라 부하나 비용이 더 드는 건 아닌 것 같아요(설명을 명확하게 못해서…스프링 서블릿 실행순서에 대해서 더 찾아보세요)

고등어통조림 · Answer

검증하는데 비용이 드는 경우는 아마도…

고등어통조림 · Answer

인증서버나 db를 왔다갔다 할때 비용이 들고 부하를 걱정해야 한다는 것 같습니다서버의 물리적인 부분이지 필터 자체를 쓴다고 비용이 드는 건 아닌것 같고, 다른 개념인 것 같습니다

개발잡부 · Answer

시큐리티컨텍스트에 올리는건, 필터체인의 각 필터에서 요청에 대한 인증인가를 하려고 올리는거고요JWT토큰은 받은 요청이 인증/인가가 되어있는 요청인지 확인하려고 하는거죠.JWT토큰을 사용하기때문에 세션을 사용을 안하는데그러면 로그인한사람이 로그인한 상태인지 아닌지 모르니까요청받을때 같이 JWT토큰을 받아서, 유효하고, 기간도 안지낫다 ===> 로그인상태구나!유효하지않거나 기간이 끝났다 --> 해킹당했거나 로그인이 풀렸는데?로 인식해서 분기하는거죠

[object Object] · Answer

필요없는 경우 해당 유알엘 패턴을 시큐리티 필터체인에 넣으시면 됩니다. 권한이 필요없는 요청은 빼시는게 낫습니다.저희는 따로 dto 를 만들어서 필요한 내용만 리스폰스 합니다.

메로나한입만 · Answer

필요한 요청만 필터를 타도록 하면 되죠

wharup · Answer

로그인한 후에 사용할 수 있는 API라면 모두 JWT 검증 후 SecurityContext를 만드는게 맞습니다.부하가 얼마나 크냐 보다는 보안적인 리스크가 훨씬 큽니다.로그인 정보에서 사용자 ID와 권한 정보를 가져와야 해당 API를 사용할 수 있는지 체크할 수 있고요단순 정보 조회라고 해도 해당 데이터를 조회할 수 있는지를 확인하려면 사용자 ID, 권한, 그룹 정보등이 필요합니다.

스프링 (jwt) 관련 간단 질문

8개의 답변

Q&A 목록