스프링 시큐리티 필터로 Jwt 예외 처리하는 게 이해가 안 됩니다..

Question

스프링 시큐리티와 Jwt를 사용해서 인증과 예외처리를 하는 중입니다.구글링을 하면서 만드는 중인데, 필터를 사용한 예외처리가 두 가지가 있는 것 같더라구요.. 1번 방식. Jwt를 처리하는 Filter 앞전에 JwtCustomExceptionFilter를 만들어서 JwtFilter에서 발생한 예외를 처리하는 방식 2번 방식. AuthenticationEntryPoint를 이용해서 JwtFilter에서 발생한 예외를 처리하는 방식헷갈리는 게 있습니다.AuthenticationEntryPoint를 사용하지 않고 CustomExceptionHandlerFilter를 통해서 예외를 처리하게 되면 거기서 Jwt 토큰 만료나 비정상 토큰 예외 같은 걸 다 처리할 수 있는데, 이러면 AuthenticationEntryPoint는 굳이 필요 없어서 만들지 않아도 되는 건가요?CustomExceptionHandlerFilter를 사용하지 않고 AuthenticationEntryPoint를 사용하게 되면 JwtFilter에서 발생한 인증 예외를 저기서 잡아서 처리하는 것 같은데, JwtException은 AuthenticationException을 상속받지 않던데 어떻게 예외가 발생한지 알고 예외를 캐치하는 건가요? 그 동작 과정이 이해가 안됩니다.. 참고로 현재 JwtCustomExceptionFilter - JwtFilter - UsernamePasswordAuthenticationFilter 순으로 등록해놨습니다기본적으로 EntryPoint에서 예외가 어떻게 잡히는지 개념이 정확하지가 않아서 헷갈리는 것 같습니다.. 도움 부탁드립니다..ㅠ

하루의_spring · Accepted Answer

이게 대답이 될지는 모르겠지만 AuthenticationEntryPoint 는 각 Filter 에서 발생한 에러를 통해서 클라이언트로 하여금 다시 인증 절차를 밟게끔 하는 구현체입니다 예시는 2가지 정도 들어보겠습니다1) LoginUrlAuthenticationEntryPointprotected String buildRedirectUrlToLoginPage(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) { String loginForm = determineUrlToUseForThisRequest(request, response, authException); if (UrlUtils.isAbsoluteUrl(loginForm)) { return loginForm; } int serverPort = this.portResolver.getServerPort(request); String scheme = request.getScheme(); RedirectUrlBuilder urlBuilder = new RedirectUrlBuilder(); urlBuilder.setScheme(scheme); urlBuilder.setServerName(request.getServerName()); urlBuilder.setPort(serverPort); urlBuilder.setContextPath(request.getContextPath()); urlBuilder.setPathInfo(loginForm); if (this.forceHttps && "http".equals(scheme)) { Integer httpsPort = this.portMapper.lookupHttpsPort(serverPort); if (httpsPort != null) { // Overwrite scheme and port in the redirect URL urlBuilder.setScheme("https"); urlBuilder.setPort(httpsPort); } else { logger.warn(LogMessage.format("Unable to redirect to HTTPS as no port mapping found for HTTP port %s", serverPort)); } } return urlBuilder.getUrl(); }이 함수를 통해서 인증이 필요한 클라이언트에게 재인증을 바로 할 수 있게 로그인 페이지로 redirect 를 하게끔 구현체가 만들어져 있습니다 2) BearerTokenAuthenticationEntryPoint public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) { HttpStatus status = HttpStatus.UNAUTHORIZED; Map<String, String> parameters = new LinkedHashMap(); if (this.realmName != null) { parameters.put("realm", this.realmName); } if (authException instanceof OAuth2AuthenticationException) { OAuth2Error error = ((OAuth2AuthenticationException)authException).getError(); parameters.put("error", error.getErrorCode()); if (StringUtils.hasText(error.getDescription())) { parameters.put("error_description", error.getDescription()); } if (StringUtils.hasText(error.getUri())) { parameters.put("error_uri", error.getUri()); } if (error instanceof BearerTokenError) { BearerTokenError bearerTokenError = (BearerTokenError)error; if (StringUtils.hasText(bearerTokenError.getScope())) { parameters.put("scope", bearerTokenError.getScope()); } status = ((BearerTokenError)error).getHttpStatus(); } } String wwwAuthenticate = computeWWWAuthenticateHeaderValue(parameters); response.addHeader("WWW-Authenticate", wwwAuthenticate); response.setStatus(status.value()); }이는 Oauth2 인증 실패시 클라이언트에게 특정 헤더를 보내서 현재 무엇이 문제이니 다음과 같은 방식으로 인증을 다시 받으세요 하는 소스 코드입니다 장황한것 같지만 정리를 하자면 인터페이스 AuthenticationEntryPoint 는 단순히 에러처리만 하는것이아니라 에러 처리를 통해서 클라이언트에게 인증을 어떻게 받는지 구체적으로 정의를 해줍니다 첫번째 구현체는 클라이언트가 재인증을 받을 수 있도록 로그인 페이지로 이동합니다 두번째 구현체는 클라이언트가 에러문구를 확인해서 재인증을 어떻게 하는지 확인을 시켜줍니다이러면 1번의 대한 해답은 정리가 되었을까요? 어떻게 구현을 하는것은 본인의 몫입니다 작성자님이 구현한것도 맞습니다 다만 시큐리티는 스탠다드한 방식으로 구현체를 만들어두고 개발자가 이를 참고해서 만들 수 있게 커스텀을 제공할 뿐입니다 2번 질문은 질문의 내용이 애매합니다 JwtFilter 를 OncePerRequestFilter 로 구현해서 사용한다는 말씀으로 들리는데 JwtFilter 에러 에를 발생시킬때 AuthenticationException 을 발생시키면 AuthenticationEntryPoint 가 이를 인터셉트 할 수 있습니다public abstract class AuthenticationException extends RuntimeException { /** * Constructs an {@code AuthenticationException} with the specified message and root * cause. * @param msg the detail message * @param cause the root cause */ public AuthenticationException(String msg, Throwable cause) { super(msg, cause); } /** * Constructs an {@code AuthenticationException} with the specified message and no * root cause. * @param msg the detail message */ public AuthenticationException(String msg) { super(msg); } } 물론 이때 사용할 AuthenticationEntryPoint 를 SecurityConfig 에 등록을 해주셔야 합니다 @Bean public SecurityFilterChain securityFilterChain(HttpSecurity httpSecurity) throws Exception{ httpSecurity.csrf().disable(); httpSecurity.formLogin().disable(); httpSecurity.httpBasic().disable(); httpSecurity.authorizeRequests().antMatchers().permitAll() .and().authorizeRequests().anyRequest().authenticated() .and().exceptionHandling().authenticationEntryPoint().accessDeniedHandler() return httpSecurity.build(); } 이렇게 말이죠 각각 authenticationEntryPoint , accessDeniedHandler 에 구현하고 주입을 해주면됩니다

딥어스 · Answer

제가 알기로는 JWT에서 예외를 잡는 건, 토큰 유효성을 검증하는 거고(만료되었는지 유효한지부터 서명키가 일치하는지 등), 시큐리티쪽 Authentication쪽에서 필터링 하는 건 권한, 패스워드 등 인증정보를 검사하는 걸로 알고 있는데요.둘 역할은 다른 것으로 알고 있어요.애초에 서버에 유효하지 않은 토큰이 들어오는 것을 1차적으로 JWT검증에서 걸러주고, 이후에 토큰 정보가 옳더라도 Role에 따라 인가 권한이 다를 수 있고, 인증 정보가 일치하지 않을 수도 있기 때문에 시큐리티쪽에서 한 번 더 검증하는 거죠.

스프링 시큐리티 필터로 Jwt 예외 처리하는 게 이해가 안 됩니다..

2개의 답변

기술 목록