Spring Security에서 JWT 로그인 구현 시 질문 있습니다..

Question

JWT로그인을 공부하는김에 Spring security도 같이 공부를 하고 있는데요제가 생각한 사용자 인증 흐름은/login 요청헤더에 정상적인 토큰이 있는지 검증(&#x8;있다면) 400 리턴(없다면) UsernamepasswordAuthenticationFilter에서 다음 로직 수행(사용자 검증 성공 시) response에 token 넣어서 return(사용자 검증 실패 시) 예외 발생이런식으로 로그인 흐름을 생각하고 있는데 다른 사람들 구현한 것을 보고 검색도 좀 해보니까 위의 방법처럼 구현하지 않고아래 방식으로 구현을 많이 했더라고요/login 요청헤더에 정상적인 토큰이 있는지 검증(있다면) 토큰에서 정보 추출 후 사용자 조회하여 security context에 authentication 객체 저장 이후 로직 수행(없다면) 바로 다음 로직 수행UserDetailsSerivce를 만들어서 loadUserByUsername 직접 구현 후 해당 메소드 안에서 필요 로직 수행(Security context에 저장 등..) 이후 return제 생각에는 어차피 UsernamepasswordAuthenticationFilter를 바로 써도 해당 필터 안에서 사용자 검증, security context 저장, exception 처리가 모두 된다고 생각해서 위와 같은 방식을 전 사용하려고 하는데 물론 개발에 정답은 없다지만 제 방식으로 했을때 어떤 문제가 있을지 감이 잘 안오네요.. 개발 고수님들 조언 한마디씩 부탁드립니다.

더미 · Answer

질문하신 내용은 Spring Security에서 JWT 인증 및 사용자 인증 흐름과 관련된 고민으로 보입니다. 작성하신 두 가지 흐름 모두 Spring Security로 구현이 가능하지만, 각각의 접근 방식에 따라 장단점이 있습니다. 아래에서 각 접근 방식의 차이와 문제점, 그리고 일반적으로 많이 채택되는 이유를 설명드리겠습니다.---## 1. 첫 번째 방식의 흐름 (질문자님이 생각한 방식)### 특징- */login 요청 시 헤더에 토큰이 있는지 확인*: 만약 토큰이 있다면 로그인 자체를 막아버림 (400 Bad Request).- 헤더에 유효한 토큰이 없을 경우 UsernamePasswordAuthenticationFilter를 통해 사용자 인증을 진행.- 인증 성공 시 토큰을 발급하고 응답에 담아 반환.- 이후 요청은 생성된 토큰을 사용해서 인증.### 장점- 로직이 간단하고 흐름이 명확: - 로그인 요청의 경우 무조건 토큰이 없어야 한다는 강제 조건을 부여. - 인증 처리가 깔끔하게 UsernamePasswordAuthenticationFilter에 의해 이루어짐.- 인증 실패 시 예외 처리가 ExceptionHandler를 통해 일관되게 처리 가능.### 단점1. *토큰 유효성을 강제하지 않는 경우 발생 가능*: - 로그인 요청에 대해 헤더에 토큰 유무를 강제적으로 검사하지만, 이 접근 방식은 REST API의 Stateless한 특성과 약간 어긋날 수 있음. - 왜냐하면, 일반적인 REST API 설계에서는 /login 요청은 단순히 사용자 인증을 처리하는 엔드포인트이며, 헤더의 토큰 유무와 상관 없이 동작하도록 설계하는 경우가 많음.2. *하드코딩된 유효성 검사*: - 비즈니스 규칙(헤더에서 토큰 확인 후 400 리턴)을 강하게 강제하면, 시스템 변경 시 유지 보수가 어려울 수 있습니다. - 예를 들어, 나중에 /login 요청에서도 일부 토큰 기반 인증이나 추가 인증 방식을 허용해야 할 경우 로직을 수정해야 합니다.3. *JWT와의 결합도*: - 인증과 토큰 발급의 로직이 강하게 결합되어 있어, 인증 로직을 재사용하거나 확장하기 어려울 수 있습니다.---## 2. 두 번째 방식의 흐름 (다른 사람들이 주로 사용하는 방식)### 특징- */login 요청 시 헤더에 토큰이 있든 없든 사용자명과 비밀번호로 인증 진행*: - 만약 헤더에 토큰이 있다면, 기존 유효한 토큰에 대해서는 Security Context에 사용자 정보를 저장. - 토큰이 없거나 유효하지 않을 경우에는 AuthenticationManager를 통해 인증 진행.- 유효한 토큰이 있다면 재로그인을 강제하지 않음.- UserDetailsService를 활용해 사용자 정보를 로드하고, Security Context에 저장.### 장점1. *유연한 설계*: - 헤더에 토큰이 있으면 Security Context에 인증 객체를 저장하여 재로그인을 방지. - 필요에 따라 특정 토큰을 무효화하거나, 만료된 토큰만 새로 발급하는 방향으로 확장 가능.2. *Spring Security 컨벤션에 적합*: - UserDetailsService를 활용하면 인증 로직과 사용자 정보를 분리하여 관리할 수 있어 유지 보수가 쉽고, Spring Security와의 연계가 더 자연스러움.3. *JWT Stateless 인증과의 높은 호환성*: - RESTful API 설계 원칙을 준수하면서 모든 요청에 대해 JWT를 통해 Stateless한 인증이 가능.### 단점- 구현 복잡성 증가: - OncePerRequestFilter나 AuthenticationEntryPoint, UserDetailsService 등을 각각 구현해야 하므로 처음 설계할 때 학습 비용이 다소 높을 수 있음.---## 어떤 방식을 선택해야 할까?### 1. 질문자님의 방식 (첫 번째 방식)을 사용할 때의 고려 사항- 로그인 요청(/login) 자체를 JWT 토큰 기반으로 강제할 필요가 없다면, 굳이 헤더에 토큰이 있는지 검사하는 로직을 두지 않아도 됩니다. 일반적으로 /login 요청은 토큰과 상관없이 처리되는 경우가 많습니다.- 토큰이 이미 존재하는 사용자는 /login 대신 Refresh Token을 통해 새로운 Access Token을 받고, 그렇지 않은 경우 로그인 과정을 진행하도록 API 설계를 개선해보는 걸 추천합니다.- UsernamePasswordAuthenticationFilter를 직접 사용하되, 인증 로직이 너무 강하게 엮이지 않도록 주의해야 합니다. 인증 로직(사용자 조회, 비밀번호 검증 등)을 별도로 분리해서 모듈화하는 것이 좋습니다.### 2. 두 번째 방식이 많이 사용되는 이유- Spring Security의 기본 컨벤션과 잘 맞고, 커스터마이징이 쉽기 때문입니다.- UsernamePasswordAuthenticationFilter와 별도로 JWT 인증 필터(OncePerRequestFilter)를 만들어서, 로그인 요청 외의 API 요청 시에도 JWT를 사용한 인증을 처리할 수 있습니다.- 비즈니스 요구사항이 변경되더라도, 인증 관련 로직(예: UserDetailsService와 AuthenticationProvider)이 분리되어 있어 유지 보수가 용이합니다.---## 제안: Best Practice 흐름아래는 일반적으로 많이 사용되는 JWT 기반 Spring Security 인증 흐름입니다.### 1. 로그인 요청 (/login)- 사용자명과 비밀번호를 받아 인증을 수행.- 인증 성공 시 Access Token과 Refresh Token을 발급하여 반환.- Refresh Token은 HTTPOnly 쿠키에 저장하거나, 클라이언트가 적절히 관리.### 2. JWT 인증 필터 (Global 요청 필터)- 로그인 요청 외의 모든 API 요청에 대해 OncePerRequestFilter를 통해 JWT 인증 필터를 적용.- JWT가 유효하다면 Security Context에 Authentication 객체 저장.- 유효하지 않거나 만료된 경우 AuthenticationEntryPoint를 통해 예외 처리.### 3. Refresh Token 처리 (토큰 갱신 API)- Refresh Token을 검증하여 새로운 Access Token을 발급.- 클라이언트는 Access Token을 헤더에 포함하여 인증.---## 결론첫 번째 방식도 동작할 수 있지만, Spring Security의 기본 컨벤션과는 약간 다르며, 유지 보수성과 확장성을 고려했을 때 두 번째 방식을 사용하는 것이 더 유리합니다. 질문자님 방식으로 구현할 경우에도 인증 로직을 명확히 분리하고, Stateless 인증 원칙을 따라 설계하면 문제가 없을 것입니다. 추가로 필요한 코드 예제나 구현 관련 질문이 있으면 언제든 말씀해주세요! 😊

Spring Security에서 JWT 로그인 구현 시 질문 있습니다..

1개의 답변

#spring-security 목록