회원 검증 로직과 jwt 토큰에 대한 질문있습니다

Question

현재 JWT토큰으로 인증과정을 거치고 있으며 문제상황은 SpringSecurity에서 인가된 회원은 인증을 요청하는 엔드포인트에 접근할 수 있어서 해당 과정에 대한 처리를 어디서 해야할까를 고민하고 있습니다. ex)id : 1name : 이름role : USER위 회원이 SpringSecurity에 인가되었다면PATCH : /member/{id} <- id가 2여도 인가를 받은 상황이라 동작함이런 본인이 적지 않은 게시글의 내용도 수정이 가능한 상황입니다.이걸 방어하기 위해서 세가지 방안을 생각해봤는데파라미터와 jwt토큰에 있는 회원을 비교 및 검증하는 static method를 작성하여 Controller에 넣는다.위와 같은 동작을 하는 커스텀어노테이션을 만든다.AOP로 분리해서 동작하도록 한다.위 방안 중에 가장 나은 부분은 어떤건지 혹 다른 방안이 있다면 어떤게 있는지 여쭤보고 싶습니다.

bluepenguin · Accepted Answer

파라미터와 jwt토큰에 있는 회원을 비교 및 검증하는 static method를 작성하여 Controller에 넣는다.-> 간단하지만 추후 중복 코드 발생 및 추후 유지보수 어려워질수 있을것같습니다.위와 같은 동작을 하는 커스텀어노테이션을 만든다.-> 기존 코드를 고칠게 많지 않고, 코드 재사용이 가능하고 유지보수가 쉬운편입니다.AOP로 분리해서 동작하도록 한다.-> 커스텀 어노테이션과 비슷할것같습니다.(다만 실행위치에 따라 복잡해질 가능성도 있어보임)이중에서는 2.커스텀어노테이션을 쓰는게 무난해보입니다.추가적으로 스프링시큐리티를 사용한다면 메소드 시큐리티 사용도 고려해보시면 좋을것같습니다.

charlatan · Answer

인증(Authentication)과 권한(Authorization)을 구분해야 할 것 같은데요? 인증되었다고 모든 데이터에 읽기 쓰기가 가능하지 않으므로 권한에 관한 부분이 구현되어야 할 것 같네요? 그러니까 인증 사용자의 권한을 검사해서 CRUD 권한을 판단해야 되겠죠.

개발잡부 · Answer

그냥 Service에서 예외 Throw 하는게 편합니다. Argument Resolver등록하거나Filter에서 jwt토큰 유효성 검증할때, jwt파싱해서 claim에 들어있는값 request에 추가해서 넘겨준다음 Controller에서 받아와도 되고요. 어차피 log 남길때, 누가 요청한건지 남길려면 인터셉터나 컨트롤러단에서 필요하기도 하고요.

회원 검증 로직과 jwt 토큰에 대한 질문있습니다

3개의 답변

Q&A 목록