스프링 시큐리티 질문(재질문)

Question

SecurityConfig.java@Configuration @EnableWebSecurity public class SecurityConfig { @Bean SecurityFilterChain filterChain(HttpSecurity http) throws Exception { return http .csrf() .and() .authorizeRequests() .antMatchers("/user/login").permitAll() .antMatchers("/assets/**").permitAll() //.antMatchers("/**").hasAnyRole("ADMIN", "USER") .anyRequest().authenticated() .and() .formLogin() .loginPage("/user/login") .defaultSuccessUrl("/", true) .and() .logout() .logoutUrl("/user/logout") .logoutSuccessUrl("/user/login") .invalidateHttpSession(true) .and() .build(); } @Bean PasswordEncoder passwordEncoder() { return new Sha512PasswordEncoder(); } @Bean AuthenticationManager authenticationManager(AuthenticationConfiguration authenticationConfiguration) throws Exception { return authenticationConfiguration.getAuthenticationManager(); } @Bean public WebSecurityCustomizer webSecurityCustomizer(){ return web -> web.ignoring() .requestMatchers(PathRequest .toStaticResources() .atCommonLocations() ); }UserController.java@Controller @RequestMapping("/user") @RequiredArgsConstructor public class UserController { @GetMapping("/login") public String login() { return "login/login_form"; } }UserSecurityService.java@Slf4j @Service @RequiredArgsConstructor public class UserSecurityService implements UserDetailsService { private final AwUserInfoRepository awUserInfoRepository; @Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { Optional _awUserInfo = this.awUserInfoRepository.findById(username); if (_awUserInfo.isEmpty()) { log.error("사용자를 찾을수 없습니다."); throw new UsernameNotFoundException("사용자를 찾을수 없습니다."); } AwUserInfo awUserInfo = _awUserInfo.get(); log.info("UserGrpCd: {}", awUserInfo.getUserGrpCd()); List authorities = new ArrayList<>(); //authorities.add(new SimpleGrantedAuthority("ADMIN")); authorities.add(new SimpleGrantedAuthority(awUserInfo.getUserGrpCd())); //log.info("{}, {}", awUserInfo.getId(), awUserInfo.getPassword()); return new User(awUserInfo.getId(), awUserInfo.getPassword(), authorities); } } tiles.xml

TilesConfiguration.java @Configuration public class TilesConfiguration { @Bean public InternalResourceViewResolver internalResourceViewResolver() { InternalResourceViewResolver resolver = new InternalResourceViewResolver(); resolver.setViewClass(JstlView.class); resolver.setPrefix("/WEB-INF/views/"); resolver.setSuffix(".jsp"); resolver.setRedirectHttp10Compatible(false); resolver.setOrder(2); return resolver; } @Bean public UrlBasedViewResolver tilesViewResolver() { UrlBasedViewResolver tilesViewResolver = new UrlBasedViewResolver(); tilesViewResolver.setViewClass(TilesView.class); tilesViewResolver.setRedirectHttp10Compatible(false); tilesViewResolver.setOrder(1); return tilesViewResolver; } @Bean public TilesConfigurer tilesConfigurer() { TilesConfigurer tiles = new TilesConfigurer(); tiles.setDefinitions(new String[] { "WEB-INF/tiles/tiles.xml" }); tiles.setCheckRefresh(true); tiles.setDefinitionsFactoryClass(CustomLocaleDefinitionsFactory.class); return tiles; } } login_form.jsp<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%> <%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core"%> <%@ taglib uri="http://tiles.apache.org/tags-tiles" prefix="tiles"%> Call Admin

Call Admin

main.jsp<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%> <%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core"%> <%@ taglib uri="http://tiles.apache.org/tags-tiles" prefix="tiles"%> Call Admin

Call Admin

스프링시큐리티를 통해 로그인 로직을 만들려고 하는 초보 개발자입니다. 앞에 질문을 올리긴했는데 답이 명확하게 나오지 못하여 다시한번 올리게 되었네요.다른 보안점은 우선 뒤로 미루고 가장 중요한게 로그인페이지에서 로그인 폼을 submit() 하게되면UserSecurityService.java에 loadUserByUsername 이 메소드가 동작하여 로그인이 되어야 하는 것으로알고있는데 도무지 loadUserByUsername 이 메소드가 동작을 안하네요...어떻게 해야 로그인 처리가 되어 .defaultSuccessUrl("/", true) 인 루트 페이지가 열릴까요...너무 답답합니다 ㅠㅠ도와주세요 ㅠㅠ

Lee1231234 · Answer

모르겠으면 코드 브레이크 걸어놓고 디버깅 모드로 왜 안들어가는지 천천히 하나씩 보는것도 나쁘지않습니다.

charlatan · Answer

개발할 때는 @EnableWebSecurity(debug = true) 이렇게 해서 시큐리티 필터들의 실행상태를 보는 것이 좋을 것 같습니다. 뷰리졸버나 타일즈 설정은 일단 문제의 원인에서 후순위입니다. 왜냐하면 뷰페이지까지 간다는 것은 이미 시큐리티 필터를 정상적으로 통과한 이후니까요.debug=true 정도만 해도 어느 필터에서 걸리는지 알 수 있습니다. 이전 질문에서 타임리프에서는 정상적으로 되었다고 했는데 타임리프는 폼태그 안에 CSRF 필드를 자동으로 만들어줄 겁니다(로그인 페이지 소스를 확인하면 아마 히든 필드로 만들어져 있을 겁니다). JSP로 바꾸는 경우 아래와 같이 스프링 태그를 사용하는 경우 <%@ taglib prefix="spring" uri="http://www.springframework.org/tags"%>마찬가지로 폼태그 안에 자동으로 만들어줄 것 같습니다(그런데 확실하지 않음😂).그런데 위에 작성한 것을 보니 스프링 태그를 사용하지 않았기 때문에 CSRF 토큰이 설정될 곳이 없습니다. 그래서 일단 폼태그 안에 이렇게 CSRF토큰이 넘어오는지 확인해보세요. 넘어온다면 submit 할때 같이 전송될테고 그렇게 하면 CSRF 필터는 통과할 것 같습니다.두 번째는 .loginPage 설정으로 로그인 페이지를 변경했는데 submit을 했을 때 요청되는 URL이

스프링 시큐리티 질문(재질문)

2개의 답변

기술 목록