SecurityConfig에서 permitAll() 설정을 해놔도 필터를 타는데..

Question

http .cors().and() .httpBasic().disable() // rest api -> 기본 설정 disable .csrf().disable() // csrf -> 비활성화, security 설정 시 기본값으로 활성화 되어있음 .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS); // 세션 활용 안함 http.authorizeHttpRequests() .requestMatchers(new MvcRequestMatcher(null,&#34;/swagger-ui/**&#34;)).permitAll() .anyRequest().permitAll(); return http.build();예를 들어서 이렇게 설정을 해도 /swagger-ui/**로 들어오면 필터에 걸려버려서 if(httpRequest.getRequestURI().startsWith(&#34;/swagger-ui&#34;)){ log.info(&#34;................/swagger-ui&#34;); chain.doFilter(request, response); return; }이렇게 따로 검증하지 않게 걸고있거든요! 필터를 회피하려면 config에서 설정할수 없을까요?

양반후반 · Answer

permitAll은 필터를 타지 말라가 아니라 필터는 타지만 인증 및 인가 결과에 대해서는 모두 허용하겠다는겁니다.필터를 무시하려면 WebSecurityCustomizer 에서 무시 하셔야 합니다.

개발잡부 · Answer

permitAll은 필터를 안타는게 아닙니다 필터를 타되, 정상적인 인증객체가 안생겼을테니인증객체를 조회해보면 익명으로 나올텐데,그래도 통과를 시켜주겠다는 뜻

junhyunny · Answer

스프링 애플리케이션은 톰캣 기반으로 동작하기 때문에 서블릿 필터 체인은 필연적으로 수행될 수 밖에 없습니다. 위에서 언급하신 필터(스웨거 로깅 출력)가 수행되는 것이 문제라면 해당 필터가 스프링 빈(bean)으로 등록되어 있는지 확인하고 제거하시면 될 것 같습니다. 만약 스프링 빈으로 등록되어 있지 않다면 어딘가에서 서블릿 필터 체인에 해당 필터를 주입하는 코드나 설정이 있는지 확인하길 바랍니다. 윗 분들이 말씀하신 것처럼 permitAll 설정은 보통 시큐리티 필터 체인 마지막에 위치한 AuthrizationFilter(버전에 따라 클래스가 다를 수 있음) 객체에서 인가 처리에 의한 접근 허용, 거부 여부를 항상 허용으로 하겠다는 의미입니다. 실제 비즈니스 로직을 위한 필터 체인을 더 단순화하려면 swagger 같은 개발을 위한 특수한 경로는 별도 시큐리티 필터 체인으로 구성하는 것이 좋을 것 같습니다. - https://docs.spring.io/spring-security/reference/servlet/architecture.html#servlet-multi-securityfilterchain-figure

SecurityConfig에서 permitAll() 설정을 해놔도 필터를 타는데..

3개의 답변

Q&A 목록