스프링부트 시큐리티 오류 질문입니다.

Question

JWT signature does not match locally computed signature. JWT validity cannot be asserted and should not be trusted.이런 에러가 발생합니다. 시큐리티와 토큰에 대해 무지한 상태라서 어떤 부분을 찾아봐야 할지 감이 잡히지 않습니다.유튜브 강의를 보면서 작성한 코드입니다. &#64;Component public class JwtProvider { &#64;Value(&#34;${secret-key}&#34;) private String secretKey; public String create(String email) { Date expiredDate &#61; Date.from(Instant.now().plus(1, ChronoUnit.HOURS)); String jwt &#61; Jwts.builder() .signWith(SignatureAlgorithm.ES256, secretKey.getBytes(StandardCharsets.UTF_8)) .setSubject(email) .setIssuedAt(new Date()) .setExpiration(expiredDate) .compact(); System.out.println(&#34;JWT : &#34; &#43; jwt); return jwt; } public String validate(String jwt) { Claims claims &#61; null; try { claims &#61; Jwts.parserBuilder() .setSigningKey(secretKey.getBytes(StandardCharsets.UTF_8)).build() .parseClaimsJws(jwt) .getBody(); } catch(Exception exception) { exception.printStackTrace(); return null; } return claims.getSubject(); }}&#64;Component &#64;RequiredArgsConstructorpublic class JwtAuthenticationFilter extends OncePerRequestFilter { private final JwtProvider JwtProvider; &#64;Override protected void doFilterInternal( HttpServletRequest request, HttpServletResponse response, FilterChain filterChain ) throws ServletException, IOException { try { String token &#61; parseBearerToken(request); System.out.println(&#34;token : &#34; &#43; token); if(token &#61;&#61; null) { filterChain.doFilter(request, response); return; } String email &#61; JwtProvider.validate(token); if(email &#61;&#61; null) { filterChain.doFilter(request, response); return; } AbstractAuthenticationToken authenticationToken &#61; new UsernamePasswordAuthenticationToken( email, null, AuthorityUtils.NO_AUTHORITIES ); authenticationToken.setDetails( new WebAuthenticationDetailsSource() .buildDetails(request) ); SecurityContext securityContext &#61; SecurityContextHolder.createEmptyContext(); securityContext.setAuthentication(authenticationToken); SecurityContextHolder.setContext(securityContext); } catch (Exception exception) { exception.printStackTrace(); } filterChain.doFilter(request, response); } private String parseBearerToken(HttpServletRequest request) { String authorization &#61; request.getHeader(&#34;Authorization&#34;); System.out.println(&#34;authorization : &#34; &#43; authorization); boolean hasAuthorization &#61; StringUtils.hasText(authorization); System.out.println(&#34;hasAuthorization : &#34; &#43; hasAuthorization); if(!hasAuthorization) return null; boolean isBearer &#61; authorization.startsWith(&#34;Bearer &#34;); System.out.println(&#34;isBearer : &#34; &#43; isBearer); if(!isBearer) return null; String token &#61; authorization.substring(7); return token; }}&#64;Configuration&#64;EnableWebSecurity&#64;RequiredArgsConstructorpublic class WebSecurityConfig { private final JwtAuthenticationFilter jwtAuthenticationFilter; &#64;Bean protected SecurityFilterChain cofigure(HttpSecurity httpSecurity) throws Exception { httpSecurity .cors( cors -> cors.configurationSource(corsConfigrationSource()) ) .csrf(CsrfConfigurer::disable) .httpBasic(HttpBasicConfigurer::disable) .sessionManagement( sessionManagement -> sessionManagement.sessionCreationPolicy(SessionCreationPolicy.STATELESS) ) // 요청 url에 대한 인증 정책 설정 .authorizeHttpRequests( request -> request .requestMatchers( &#34;/&#34;, &#34;/api/v1/auth/*&#34;, &#34;/api/v1/search/&#34;, &#34;/file/*&#34; ).permitAll() // 해당 URL에 인증 없이 접근 - 다른 조건의 메소드가 많음 .requestMatchers( HttpMethod.GET, &#34;/api/v1/board/*&#34;, &#34;/api/v1/user/&#34; ).permitAll() .anyRequest().authenticated() ) .exceptionHandling( exceptionHandling -> exceptionHandling // 인증 실패(authenticationEntryPoint) 시 FailedAuthenticationEntryPoint 호출 .authenticationEntryPoint(new FailedAuthenticationEntryPoint()) ) .addFilterBefore( jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class ); return httpSecurity.build(); } &#64;Bean protected CorsConfigurationSource corsConfigrationSource() { CorsConfiguration configuration &#61; new CorsConfiguration(); configuration.addAllowedOrigin(&#34;*&#34;); configuration.addAllowedMethod(&#34;*&#34;); configuration.addExposedHeader(&#34;*&#34;); configuration.addExposedHeader(&#34;Authorization&#34;); UrlBasedCorsConfigurationSource source &#61; new UrlBasedCorsConfigurationSource(); source.registerCorsConfiguration(&#34;/**&#34;, configuration); return source; }}class FailedAuthenticationEntryPoint implements AuthenticationEntryPoint { &#64;Override public void commence( HttpServletRequest request, HttpServletResponse response, AuthenticationException authException ) throws IOException, ServletException { response.setContentType(&#34;application/json&#34;); response.setStatus(HttpServletResponse.SC_UNAUTHORIZED); response.getWriter() .write(&#34;{\&#34;code\&#34; : \&#34;AF\&#34;, \&#34;message\&#34; : \&#34;Authorization Failed\&#34;}&#34;); } }영상에서는 Header 부분이 생략되어 있습니다. 로그인 기능은 아직 구현하지 않아서 테스트 용으로 요청을 전송하는 것 같은데, 테스트기 때문에 Header의 Authorization 를 임의로 작성해서 요청을 보내는 것이 맞을까요? 영상에서는 body의 JSON 값으로 DB에 insert를 진행하는데, 저는 AF Authorization Failed 401 오류만 발생합니다. 그래서 확인 차 다른 경로인 &#34;/&#34; 기본 경로로도 접근해봤는데, 그럼에도 401 에러가 발생합니다. 그래서 임의로 GPT를 통해 임의 값을 email을 추가해서 생성해서 아래처럼 전송했습니다.요청은 postman으로 HTTP의 Header를 Authorization : Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJlbWFpbEBlbWFpbC5jb20zIiwiaWF0IjoxNzMyNzc1NzI5LCJleHAiOjE3MzI3NzkzMjl9.w5OeXC0A2-DsLCZ3R-aH82MlcYlwST_SUZStJNcKLH4그러니 DB에 insert는 되지만, 왜인지 JWT signature does not match locally computed signature. JWT validity cannot be asserted and should not be trusted. 이 에러는 계속 나타납니다. 막연하고 주절주절 글을 올려봅니다. https://www.youtube.com/watch?v&#61;obdkashI0OU&list&#61;PLbq5jHjpmq7q-Td2jOXtpf7SD5c53RqXh&index&#61;25 참고한 강의입니다.

개발잡부 · Answer

중단점 찍어서 시그니처키가 값이 제대로 들어갔나 확인해보세요

カワウソ · Answer

사용하시는 JWT 라이브러리에서 서명에 사용된 비공개키를 검증에도 사용할 수 있는지 찾아보시는게 좋을 것 같군요.

Matthew Kim · Answer

코드를 좀 이쁘게 올리면 좋을 것 같네요 ```---``` 백틱으로 감싸서 아래와 같이 올리시구요Authorization : Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJlbWFpbEBlbWFpbC5jb20zIiwiaWF0IjoxNzMyNzc1NzI5LCJleHAiOjE3MzI3NzkzMjl9.w5OeXC0A2-DsLCZ3R-aH82MlcYlwST_SUZStJNcKLH4https://jwt.io/ 여기 들어가셔서 발급한 jwt를 넣고 @Value("${secret-key}") 로 들어오는 key로 풀어보십쇼

거둘 · Answer

모두들 감사합니다.참고해서 찾아보겠습니다.

스프링부트 시큐리티 오류 질문입니다.

4개의 답변

Q&A 목록