스프링 시큐리티에 대해 질문 드립니다...

Question

스프링 시큐리티를 프로젝트에 접목하려 하는 와중에 오류가 발생했습니다..아직 기초지식이 많이 부족하여 일주일이 넘도록 해결 못해 질문을 올리게 되었습니다.web.xml에 appServlet 설정은 다음과 같습니다

appServlet

/

그리고 시큐리티를 넣고자

springSecurityFilterChain

/*

실행을 하니 오류가 나옵니다org.springframework.security.web.firewall.RequestRejectedException: The request was rejected because the URL contained a potentially malicious String "//" at org.springframework.security.web.firewall.StrictHttpFirewall.rejectedBlocklistedUrls(StrictHttpFirewall.java:463) at org.springframework.security.web.firewall.StrictHttpFirewall.getFirewalledRequest(StrictHttpFirewall.java:429) at org.springframework.security.web.FilterChainProxy.doFilterInternal(FilterChainProxy.java:196) at org.springframework.security.web.FilterChainProxy.doFilter(FilterChainProxy.java:183) at org.springframework.web.filter.DelegatingFilterProxy.invokeDelegate(DelegatingFilterProxy.java:358) at org.springframework.web.filter.DelegatingFilterProxy.doFilter(DelegatingFilterProxy.java:271) at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:189) at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:162) at org.apache.catalina.core.StandardWrapperValve.invoke(StandardWrapperValve.java:197) at org.apache.catalina.core.StandardContextValve.invoke(StandardContextValve.java:97) at org.apache.catalina.authenticator.AuthenticatorBase.invoke(AuthenticatorBase.java:540) at org.apache.catalina.core.StandardHostValve.invoke(StandardHostValve.java:135) at org.apache.catalina.valves.ErrorReportValve.invoke(ErrorReportValve.java:92) at org.apache.catalina.valves.AbstractAccessLogValve.invoke(AbstractAccessLogValve.java:687) at org.apache.catalina.core.StandardEngineValve.invoke(StandardEngineValve.java:78) at org.apache.catalina.connector.CoyoteAdapter.service(CoyoteAdapter.java:357) at org.apache.coyote.http11.Http11Processor.service(Http11Processor.java:382) at org.apache.coyote.AbstractProcessorLight.process(AbstractProcessorLight.java:65) at org.apache.coyote.AbstractProtocol$ConnectionHandler.process(AbstractProtocol.java:893) at org.apache.tomcat.util.net.NioEndpoint$SocketProcessor.doRun(NioEndpoint.java:1726) at org.apache.tomcat.util.net.SocketProcessorBase.run(SocketProcessorBase.java:49) at org.apache.tomcat.util.threads.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1191) at org.apache.tomcat.util.threads.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:659) at org.apache.tomcat.util.threads.TaskThread$WrappingRunnable.run(TaskThread.java:61) at java.base/java.lang.Thread.run(Thread.java:834)오류를 해결하고자 프로젝트의 경로 중 // 로 이동이 되는지 알아보는데 경로 중 "//"가는 경로도 못찾았으며, 구글링 하다 "//" 더블슬래쉬를 허용해주라는 코드들도 따라서 구현해 봤는데 같은 오류가 나왔습니다.(그리고 솔직히 해당코드가 작동이 되는지도 의문이었습니다)

springSecurityFilterChain

/

위와 같이 "/*" 부분을 "/" 바꾸면 오류가 나오지 않아 괜찮은건가 싶어 시큐리티 권한을 부여하여 테스트 페이지를 작동 시켰는데 권한이 없어도 그냥 페이지가 접속이 되는 걸 보아 제대로 작동도 안되는거 같습니다.security-context.xml 부분은 테스트만 해보는 부분이라 다음과 같이 간단합니다

스프링 시큐리티 설정은 xml로 하고있습니다.도움을 주시면 정말 감사하겠습니다...

dev11111 · Answer

xml 설정 10년만에 보는거 같네요..spring boot 쓸수 없는 환경 인가요?아님 java configuration 이라도 쓰심이..

봉골레파스타 · Answer

https://github.com/boyd-dev/demo-security얼마전에 오키에 올라왔던 시큐리티 예제입니다. 도움이 되시길!

charlatan · Answer

어떤 버전의 스프링 프레임워크를 쓰는지 모르겠지만 XML 설정은 번거롭고 복잡하고 그렇습니다. 그래서 구성 클래스 &#64;EnableWebSecurity 을 이용하시는 것이 좋을 것 같습니다.appSevlet은 아마 디스패처 서블릿 이름 같은데 디스패처 서블릿보다 시큐리티 필터가 먼저 요청을 잡을 것입니다. 그러니까 springSecurityFilterChain 을 /* 으로 했다면 모든 요청에 대해 시큐리티 필터를 거치게 될 것입니다. 이후 URL별 설정은 이미 하신 것처럼 <security:http/> 에서 하면 되고요.그리고 디스패처서블릿을 / 으로 한 것은... 원래 (톰캣 기준으로) 디폴트 서블릿이라는 것이 있는데 이것이 / 으로 매핑되어 있고 그걸 디스패처서블릿으로 대체하겠다는 의미로 알고 있습니다. 요청 문자열에 //이 들어오면 오류가 난다는 것은 로그를 보면 알겠지만 이미 시큐리티 필터가 동작하고 있다는 증거입니다. 그러니까 시큐리티 설정이 안되서 오류가 나는 것이 아니라 요청이 뭔가 잘못 들어가고 있을 가능성이 훨씬 높아 보이네요?시큐리티 XML 설정은 예전 자료들이 많고 흔히 철이 지난 내용이라... 의미가 있을지 모르겠습니다. 참고가 되시라고 링크 하나 걸어드립니다.XML

스프링 시큐리티에 대해 질문 드립니다...

3개의 답변

Q&A 목록