SpringSecurity의 Authentication를 Service단에서 다뤄도 괜찮을까요?

Question

안녕하세요 선배님들. 검색을 해봐도 원하는 답을 찾지 못하여 질문 드립니다.다름이 아니라, 프로젝트중에 회원 서비스 작성 중에 고민이 생겼습니다.Spring Security 와 jwt를 사용하여 인증을 구현했고, 회원 비밀번호 수정 부분에서 문제가 발생했습니다.우선 코드를 보여드리겠습니다.@Transactional public void updatePassword(PasswordUpdateRequestDto requestDto,Authentication authentication) { String email = authentication.getName(); Member member = memberRepository.findByEmail(email).orElseThrow(() -> new MemberNotFoundException("회원 정보를 찾을 수 없습니다.")); if (!passwordEncoder.matches(requestDto.getOldPassword(),member.getPassword())) { throw new BadPasswordException("비밀번호가 일치하지 않습니다."); } member.changePassword(requestDto.getOldPassword(), requestDto.getNewPassword()); }PasswordUpdateRequestDto에는 인증을 위한 기존 비밀번호, 변경 할 비밀번호 두 가지가 들어 있습니다.비밀번호를 변경하기 위해서는 기존 회원의 정보를 Repo에서 찾아, 기존 비밀번호를 확인합니다.그렇게 하기 위해서는 Authentication에서 인증 정보를 가져오는 것이 필요하다고 생각을 했습니다.하지만 테스트 코드를 작성 해보니 서비스가 Authentication에 의존하는 구조라고 생각했습니다.그래서 몇가지 방법을 생각하다가 두가지 방법을 생각해봤습니다.1. SecurityContextHolder.getContext().getAuthentication()을 컨트롤러나 서비스에서 작성하여 직접 값을 가져온다.-> 결국 이 방식도 Security에 의존적이라고 생각합니다.2. 컨트롤러단에서 미리 authentication.getName()을 사용하여 필요한 정보를 매개변수로 넘겨준다.-> getName()으로 넘어오는 값은 String이기 때문에 테스트 하기도 용이하다고 생각했습니다.더 좋은 방식이 있는 지 궁금합니다. 미리 답변 감사합니다.

개발잡부 · Answer

ArgumentResolver로 객체에 담아서 Controller 파라미터로 넘겨주세요

HJOW · Answer

비즈니스 로직은 서비스 단에 구현하는 게 원칙입니다.(특히, 전자정부프레임워크 쓰시는 분들, 호환성 평가받을 때는 필수입니다. 아예 항목에 있음.)근데 일부 항목은 컨트롤러에서 액세스해야 하는 상황이잖습니까.그렇다고 서비스 클래스에서 거기에 직접 액세스하려고 하기보다는요컨트롤러에서는, "필요한 값들만 꺼내서", Dto 에 담아, 서비스에 같이 전달해 버리세요.저 예에서, Authentication 객체에서 값들을 꺼내 Dto에 담아서, 서비스 호출하면서 매개변수로 담아버리세요.필요하다면 Dto 하나 더 만들어서 같이 넣든 하면 됩니다.그리고서비스에서, 로직 처리하고그 결과를 응답으로 내보내든, 세션에 담든, 헤더에 담든 해야될 수 있잖습니까.그건, 서비스에서, Dto에 담아서 리턴하고,컨트롤러에서 리턴값을 받아 처리하면 됩니다.

antop · Answer

2번!

LichKing · Answer

좋은 고민이네요이미 다른 분들이 답변 주셨지만 service 에서 다루지 않는게 좋습니다. 레이어 관점에서 인증 방식이 변경되거나 인증이 사라지더라도 service 는 변경의 영향을 받지 않아야 하니까요.

SpringSecurity의 Authentication를 Service단에서 다뤄도 괜찮을까요?

4개의 답변

#springsecurity 목록