스프링 시큐리티, 허용 엔드포인트

Question

스프링 시큐리티를 배우는중, jwt 토큰 필터를 만들고 해당 필터를 통과하지 않는 url을 등록하고 싶은데 이해가 안가는 부분이 있어 질문드립니다. &#64;Configuration class SecurityConfig (val tokenValidateFilter: TokenValidateFilter){ private val allowedUrls &#61; arrayOf(&#34;auth/join&#34;) // sign-up &#64;Bean fun filterChain(http: HttpSecurity) &#61; http .csrf().disable() .headers { it.frameOptions().sameOrigin() } .authorizeHttpRequests { it.requestMatchers(*allowedUrls).permitAll() // 허용할 url 목록을 배열로 분리했다 .anyRequest().authenticated() }.addFilterBefore(tokenValidateFilter, UsernamePasswordAuthenticationFilter::class.java) .sessionManagement { it.sessionCreationPolicy(SessionCreationPolicy.STATELESS) } .build()!! } (코드블럭이 잘 적용이 안되어 이렇게 올리는점 양해부탁드립니다.) requestMatchers에 검증하지 않는 엔드포인트를 넣어서 permitAll으로 필터를 타지 않는것을 의도하여 작성하였으나 실제 요청시엔 추가한 필터 TokenValidateFilter 를 타는것을 확인했습니다. permitAll을 했음에도 필터 로직을 타는 이유가 무엇인지 궁금합니다. &#43; 추가적으로 만약 필터를 거치지 않아도 되는 엔드포인트가 많아지면, 하나하나 다 시큐리티측에 등록을 해주어야 하는지도 궁금합니다.

Matthew Kim · Answer

저도 그 부분 구현하기 빡셌는데요. 검색해도 잘 안나오죠? gpt에도 질문을 잘 해야됩니다.방법을 말씀 드리면 OncePerRequestFilter 를 extends한 클래스에 shouldNotFilter 메소드를 오버라이드 합니다.다음과 같이 구현 해보십쇼.@Slf4j @Component public class JwtAuthenticationFilter extends OncePerRequestFilter { @Autowired private JwtService jwtService; @Override protected void doFilterInternal( @NonNull HttpServletRequest request, @NonNull HttpServletResponse response, @NonNull FilterChain filterChain) throws ServletException, IOException {} // 이 부분을 구현 하세요. @Override protected boolean shouldNotFilter(HttpServletRequest request) throws ServletException { String path = ((HttpServletRequest) request).getRequestURI(); String[] allowedPaths = AuthEndpoint.PERMIT_ALL; for (String allowedPath : allowedPaths) { allowedPath = allowedPath.replace("*", ""); allowedPath = allowedPath.replace("/*", ""); if (path.contains(allowedPath)) { return true; } } return false; } }

Lee SanGu (엘피타) · Answer

` ` ` j a v a 엔터띄어쓰기 안하고 저렇게 하면 될건데요.

스프링 시큐리티, 허용 엔드포인트

2개의 답변

기술 목록