권한 검사 등 질문

Question

class DocumentService.... public int calculateValue(CalculateRequest request){ ....... // 사전 작업들 String userId&#61;request.getUserId(); if(!permissionService.hasPermission(userId)){ throw new IllegalArgumentException(&#34;권한이 부족합니다.&#34;); } Document document &#61; documentRepository.find(documentId); int value&#61;document.calculateVeryComplicateOperation();//300초 이상이 걸리는 매우 무거운 계산 return value;} 대략 위와 같은 코드가 있습니다. 이 연산을 처리하기 위해서는 권한이 이 필요하고 권한이 없다면 예외를 발령하고 있습니다. 그런데 calculateVeryComplicateOperation를 계산하는(300초 이내에) 도중 권한이 바뀌는 경우의 수를 고려한다면, 어떻게 처리하는 것이 합리적인가요? 우선 제가 생각한 방안은,1. 연산을 수행하기 전에는 권한이 있는 상태였으므로 무시하고 계속 진행한다.2. 계산이 끝난 후에 권한 검사를 한 번 더 수행한다. 아래와 같이 int value&#61;document.calculateVeryComplicateOperation();//300초 이상이 걸리는 매우 무거운 계산 if(!permissionService.hasPermission(userId)){ throw new IllegalArgumentException(&#34;권한이 부족합니다.&#34;); } return value; 2번째 방법이 확실하긴 한데요, 모든 연산이 저렇게 앞뒤로 두 번 검사를 수행해야 하니 뭔가 좀 코드 짜기도 나쁘고, 과하다는 생각이 드네요. 두 번째 질문은, 보통 권한과 관련된 사항으로 spring-security 같은 프레임워크가 잘 지원하는 걸로 알고 있는데요, 제가 짜고 있는 프로그램이 도메인모델과 권한이 밀접하게 관련이 되어 있어서 프레임워크를 사용하고 있지 않습니다. 즉, 권한 부분은 POJO로 모두 작성하려고 합니다. 제가 검사해보니 저 같이 처리하는 경우를 instrinct authorization(내재되어 있다) 라고 표현하더라구요. 이와 관련해서 조언이나 기타 의견 좀 부탁드립니다.

zepinos · Answer

저라면 어느 시점에서의 권한을 체크할 것인지는 업무를 아는 사람(기획자나 현업 등)에게 물어본 뒤 공식적인 답변을 듣고 처리하겠습니다.아래쪽은 뭘 물어보시려고 하는건지 잘 모르겠네요.

coding8282 · Answer

넵 첫번째 질문에서 권한 문제는 실제 프로젝트 상황은 아니고요, 저번 프로젝트하다가 이와 비슷한 상황이 있어서 어떻게 처리할지 생각하다가 오늘 질문을 하였습니다. 저 같은 경우 2번째가 너무 과하다는 생각이 들어, 그냥 상식적인 수준이라면 1번째로 정하고 일관성 있게 적용하는 게 어떨지 생각이 듭니다. 물론 상황에 따라 다르겠지만요. 괜찮은 생각인가요?? 두 번째 질문은 사실 제가 DDD를 연습하고 있는데요, 꾸글링을 하다가 권한 처리와 발견한 글에서 읽은 내용에 기반한 것입니다. 저는 인증/인가를 spring-security 같은 프레임워크를 이용해서 할 것으로 생각했는데요, 아래 글에서는 DDD에서 로직으로 권한을 체크하는 것 같아서요. DDD는 처음이라 혹시 이와 관련해서 정보를 얻고자 여쭤봤습니다~ 아래 노란색 체크한 부분이 그 내용이구요.https://medium.com/&#64;martinezdelariva/authentication-and-authorization-in-ddd-671f7a5596ac#.2moute67t Version 2: Authentication/Authorization within Application Services Following Vernon’s example in his book IDDD and CollaboratorService, we can use the language inside the use case where authentication/authorization is executed implicitly. ApplicationService It uses a DomainService named CollaboratorService that checks authentication and authorization behind the scenes. CollaboratorService returns Author ValueObject and its implementation may reach another bounded context.........................................

coding8282 · Answer

제가 1년 넘게 학습하고 실무에서 적용한 경험을 바탕으로 답변을 할 수 있을 것 같네요. 첫 번째 질문은 zepinos님의 의견대로 하는 게 맞는 것 같습니다. 계산이 끝난 후까지 권한을 검사하는 게 좀 과도한 측면도 있고 사실 일반적인 비즈니스 애플리케이션에서 저 정도까지의 요구사항이 있는지는 잘 모르겠네요. 두 번째는 권한이 실시간으로 변할 수 있는 사항에 대한 얘기였습니다. 즉, 권한이 로그인 시점에 고정되는 것이 아니라 런타임에 사용자의 행동에 따라서 권한이 변경되는 경우이죠. 저 같은 경우 Spring Security의 선언적 보안 메커니즘을 이용하여 해결할 수 있었네요. // userId가 해당 project에 접근할 수 있는지 검사한다.&#64;PreAuthorized(&#34;access.check(#userId, #projectId)&#34;)void joinProject(String userId, String projectId){...} 지금 와서 보면 매우 간단한 문제였는데 질문을 올렸던 때만 해도 엄청 어려워서 1주일 넘게 해맨 기억이 있네요 ㅎㅎ

권한 검사 등 질문

3개의 답변

#authorization 목록