Spring Filter, Interceptor 질문 드리고 싶습니다.

Question

어제 큰 기업에 면접을 갔는데요.interceptor와 filter의 차이점에 대해서 설명해달라고 하셨고 제가 아는 대로 말씀을 드렸었는데 어느 것이 맞는지 궁금해서 여쭤봅니다.제가 답변 할 때 인증 과정을 filter에서 하는 것이 올바르다고 말씀드렸었는데,면접관 분께서는 interceptor가 올바르다고 하시더라구요.또한 interceptor에서는 request 핸들링이 되지 않습니다. 라고 말씀드렸는데 된다고 하시고..제가 답변드린 것에 대한 이유를 말하자면request 를 interceptor에서 받을 때 filter 처럼 chain.filter(reqeust, response) 를 보내는 것이 아니라prehandler에서 boolean으로 반환하기 때문에 request를 조작해서 넘길 수 없다고 생각합니다.물론 header와 같은 request 자체 에 대한 건 가능하겠지만, request body에 있는 객체 데이터 값을 사용하려면 request 객체를 필터에서 랩핑해서 보내주거나, requestbody advice를 사용해야하는 점도..인증과정을 거칠 때 Spring Security를 사용해 jwt 토큰을 검증한다면 Spring Security Document에서 OncePerRequestFilter를 권장하고 있고, WeblFlux 환경에서도 interceptor가 구현되지 않기 때문에 Webfilter에서 처리를 했었습니다.MVC 환경이 아닌 REST FULL 한 환경만 경험했기 때문에 이렇게 말씀드렸었는데 서로 환경을 다르게 생각해서 발생한 것인지 interceptor에서 구현하는게 올바른 방법인지, 궁금합니다.

jeus1212 · Answer

저의 짧은 지식으로는 서블릿 필터와 스프링 인터셉터는 모두 웹에 관련된 공통 관심사를 해결하기 위한 기술인데 차이점이라고 하면 호출시점 : 필터는 DispatcherServlet(FrontController)전에 호출 인터셉터는 DispatcherServlet 후에 호출 필터나 인터셉터에서 인증 로직을 넣어둔다고 하면 서블릿 필터에서 구현 가능한 기능을 스프링 인터셉터 또한 마찬가지로 똑같은 기능을 만드는 게 가능하지만 스프링 인터셉터는 스프링 프레임워크 기술이어서(스프링 컨테이너에서 관리) 스프링 기반 애플리케이션이라면 개발자가 더 간단하게 구현(스프링과 통합성 측면)이 가능한 것으로 알고 있습니다. 그래서 면접관님이 인터셉터를 사용하는 방법이 올바르다고 한것 같습니다.

charlatan · Answer

인터셉터에서 request 핸들링이 안된다? 어떤 의미로 그런건가요? 스프링 시큐리티 안쓸 때는 인터셉터를 쓰는 경우도 있으니 request의 파라미터를 바꾸느냐 이런 문제가 아니라 핸들링 못한다고 해서 그렇게 받아들인 것이 아닐지?시큐리티가 필터들의 구현체들이긴 하지만 그렇다고 인증을 필터로 해야 한다고 주장하는 것도 그렇고 반대로 인터셉터로 해야한다고 주장하는 것도 맞지 않는 것 같은데요? 목적과 방향에 따라 다를 수 있으니까요. MVC와 restful 환경은 또 어떻게 다른 건가요? 두 가지를 그렇게 비교해도 되는 것인지 잘 모르겠네요?

장독깨기 · Answer

필터에서 할 수도 있고, 인터셉터에서 할 수도 있는데,어느 쪽이 올바르다 하는 것이 좀 이상하네요.다만, 인증이 아닌 인가 부분에서는,...인터셉터는 핸들러를 알 수 있기 때문에, 인가 관련 정보를 어노테이션으로 정의하고,인터셉터에서 이를 체크하고 처리할 수 있습니다. 전 이렇게 인가 처리 하고 있습니다.필터에서는 이런 식으로 할 수는 없겠죠. url 를 체크해서 기본적인 건 할 수 있을 겁니다만,세밀한 인가 처리를 하려면 어느 정도 한계는 있을 겁니다.면접관이 이 관점에서 말씀하셨을 수도 있을 거 같습니다.그리고, 인터셉터에서 request 스트림을 소모하고 다시 스트림 생성해서 넣으면 되지 않을까요.request 를 핸들링 할 수 없다는 답변은 좀 이상합니다.

초무쿤 · Answer

인증/인가는 보통 filter 로 처리하는거는 말씀하신게 맞는거 같은데용..가끔 보면 AOP로 모든 공통요소를 해결하시는 성애자 분이 계시긴 합니다만..(심지어 &#64;Transactional, &#64;ControllerAdvice 같은거도 사용 않하시고 그전 방식을 고수...)Filter &#61;> 결국은 Servlet Filter 스펙 (웹컨테이너 레벨, 예전에는 web.xml에 기술. spring의 filter도 결국 container에 servlet filter를 등록해놓고 spring filter로 routing 되는거로 아는데.)Interceptor &#61;> AOP(spring에서는 AspectJ를 아직도 사용하지 싶은데..) 개념 (어플리케이션 레벨)일듯 한데.흘러가는 순서는 Filter &#61;> Interceptor 순일텐데 인증/인가는 제일 앞단에서 하는게 맞을듯 한데.(springframwork 사용 이전에도 인증/인가는 Servlet Filter로 했었으니..)ps. 앞단에서 request 객체를 단순 wrapping이 아닌 stream을 미리 읽어서 뭔가 처리 해버리니 파일업로드 등에서 문제가 발생되던데... interceptor나 filter에서 wrapping이 아닌 stream을 읽어버리는게 맞는 방법이 맞는지는 글쎄요..

Spring Filter, Interceptor 질문 드리고 싶습니다.

4개의 답변

#interceptor 목록