[신동진] Sprint9 #132

B1uffer · 2025-10-07T22:56:31Z

요구사항

기본

Spring Security 환경설정

프로젝트에 Spring Security 의존성을 추가하세요.
Security 설정 클래스를 생성하세요.
- 패키지명: com.sprint.mission.discodeit.config
- 클래스명: SecurityConfig
SecurityFilterChain Bean을 선언하세요.
- 가장 기본적인 SecurityFilterChain을 등록하고, 이때 등록되는 필터 목록을 디버깅해보세요. 필터 목록은 PR에 첨부하세요.
개발 환경에서 Spring Security 모듈의 로깅 레벨을 trace로 설정하세요.
- 각 요청마다 통과하는 필터 목록을 확인할 수 있습니다.

CSRF 보호 설정하기

디스코드잇은 CSR 방식이기 때문에 CSRF 토큰은 다음과 같이 처리합니다.

클라이언트에서 페이지가 로드될 때 CSRF 토큰 발급 API를 명시적으로 호출
서버는 CSRF 토큰을 응답 헤더(Set-Cookie)를 통해 쿠키에 저장
클라이언트에서 매 요청마다 쿠키에 저장된 CSRF 토큰을 헤더(X-XSRF-TOKEN)에 포함
서버는 요청 헤더에 포함된 두 토큰 값(X-XSRF-TOKEN, Cookie)을 비교해 유효성 검증

회원가입

회원가입 API 스펙은 유지합니다.
- API 스펙
  - 엔드포인트: POST /api/users
  - 요청: Body UserCreateRequest, MultipartFile
  - 응답: 200 UserDto
회원가입 시 비밀번호는 PasswordEncoder를 통해 해시로 저장하세요.
- PasswordEncoder의 구현체는 BCryptPasswordEncoder를 활용하세요.

인증 - 로그인

formLogin 을 기본값으로 활성화하고, 추가된 필터를 확인해보세요.
Spring Security의 formLogin 인증 흐름은 그대로 유지하면서 필요한 부분만 대체합니다.
- 이번 미션에서는 보라색 음영 처리된 5가지 컴포넌트를 대체합니다.

UserDetails
UserDetailsService
PasswordEncoder: 이전에 정의한 BCryptPasswordEncoder로 대체됩니다.
AuthenticationSuccessHandler
AuthenticationFailureHandler

인증 - 세션을 활용한 현재 사용자 정보 조회

이전 버전까지의 디스코드잇 프론트엔드에서는 현재 사용자 정보를 브라우저의 세션 스토리지(user-storage)에서 관리해왔습니다.
브라우저의 세션 스토리지는 Javascript로 접근이 가능하기 때문에, XSS(Cross-Site Scripting) 공격에 취약합니다.
따라서 프론트엔드 2.0.x 부터는 사용자 정보를 브라우저의 메모리에서 관리하도록 변경되었습니다.
하지만, 메모리에 저장된 정보는 브라우저 새로고침 시 모두 삭제됩니다.
따라서 새로고침 시 쿠키에 저장된 세션 ID를 통해 현재 사용자 정보를 조회합니다.

세션ID를 통해 사용자의 기본 정보(UserDto)를 가져올 수 있도록 API를 정의하세요.
- API 스펙
  - 엔드포인트: GET /api/auth/me
  - 요청: Header(자동 포함) Cookie: JSESSIONID=…
  - 응답: 200 UserDto
- SecurityFilterChain의 필터를 통해 인증에 성공하면 Controller에서 @AuthenticationPrincipal를 통해 인증 정보에 접근할 수 있습니다.

인증 - 로그아웃

Spring Security의 logout 흐름은 그대로 유지하면서 필요한 부분만 대체합니다.
이번 미션에서는 2가지 요소를 대체합니다.
- Logout 처리 URL
- LogoutSuccessHandler
로그아웃을 처리할 url을 /api/auth/logout로 설정하세요.
LogoutSuccessHandler 컴포넌트를 대체하세요.
- 디폴트 구현체는 SimpleUrlLogoutSuccessHandler입니다.
- HttpStatusReturningLogoutSuccessHandler로 대체하세요.
  - 204 Void 응답을 반환하세요.

인가 - 권한 정의

다음과 같이 권한을 정의하세요.
- 관리자: ADMIN
- 채널 매니저: CHANNEL_MANAGER
- 일반 사용자: USER
데이터베이스 스키마를 변경하세요.
회원 가입 시 모든 사용자는 USER 권한을 기본 권한으로 설정하세요.
사용자 권한을 수정하는 API를 구현하세요.
- API 스펙
  - 엔드포인트: PUT /api/auth/role
  - 요청: Body UserRoleUpdateRequest
  - 응답: 200 UserDto
애플리케이션 실행 시 ADMIN 권한을 가진 어드민 계정이 초기화되도록 구현하세요.
- 어드민 계정이 없는 경우에만 초기화하세요.
DiscodietUserDetails.getAuthorities를 수정하세요.

인가 - 권한 적용

authorizeHttpRequests를 활성화하고, 모든 요청을 인증하도록 설정하세요.
다음의 요청은 인증하지 않도록 설정하세요.
- Csrf Token 발급
- 회원가입
- 로그인
- 로그아웃
- API가 아닌 요청(Swagger, Actuator 등)
Method Security를 활성화하세요.
Service의 메소드 별로 아래의 조건에 맞게 권한을 수정하세요.
- 퍼블릭 채널 생성, 수정, 삭제는 CHANNEL_MANAGER 권한을 가져야합니다.
- 사용자 권한 수정은 ADMIN 권한을 가져야합니다.
적절한 권한이 없는 경우 403 응답을 반환하세요.
- SecurityFilterChain
- GlobalExceptionHandler
RoleHierarchy를 활용해 권한의 계층 구조를 정의하세요.
- 관리자 > 채널 매니저 > 일반 사용자
  - 관리자 권한은 채널 매니저, 일반 사용자 권한을 포함합니다.
  - 채널 매니저 권한은 일반 사용자 권한을 포함합니다.

심화

세션 관리 고도화

동일한 계정으로 동시 로그인할 수 없도록 설정하세요.
- sessionConcurrency 설정을 활용하세요.
- 세션의 동일성을 보장하기 위해 DiscodeitUserDetails의 equals(), hashcode() 메소드를 오버라이딩하세요.
권한이 변경된 사용자가 로그인 상태라면 세션을 무효화하세요.
- sessionRegistry를 활용하세요.
- httpSessionEventPublisher: HttpSession이 만료된 경우 이벤트를 통해 SessionRegistry의 SessionInformation도 자동으로 만료하기 위해 필요한 Bean입니다.
UserStatus 엔티티 대신 SessionRegistry를 활용해 사용자의 로그인 여부를 판단하도록 리팩토링하세요.
- UserStatus 엔티티와 관련된 코드는 모두 삭제하세요.
- (로그아웃처럼) HttpSession 만료 시 SessionRegistry의 SessionInformation도 자동으로 만료 처리할 수 있도록 HttpSessionEventPublisher를 Bean으로 등록합니다.

로그인 고도화 - RememberMe

로그인 요청 파라미터(remember-me)가 true인 경우 세션이 무효화되어도 자동으로 다시 로그인되도록 하세요.
- 로그인 화면에서 로그인 유지 체크 후 로그인하면 remember-me 파라미터가 true로 설정되어 요청합니다.
- remeberMe 설정을 활용하세요.
- 로그인 상태에서 JESSIONID 쿠키를 삭제 후 새로고침했을 때 인증 상태가 유지 되는지 확인해보세요.

권한 적용 고도화

SpEL을 활용해 Method Security 기반 리소스 보호 정책을 강화해보세요.
- 사용자 정보 수정, 삭제는 본인만 할 수 있습니다.
- 메시지 수정, 삭제는 해당 메시지를 작성한 사람만 할 수 있습니다.

주요 변경사항

스크린샷

멘토에게

셀프 코드 리뷰를 통해 질문 이어가겠습니다.

spring-kang · 2025-10-22T07:55:16Z

src/main/java/com/sprint/mission/discodeit/config/SecurityConfig.java

+
+// Method Security 활성화
+@EnableMethodSecurity
+@Configuration


'EnableWebSecurity' 어노테이션이 누락되신듯합니다.

spring-kang · 2025-10-22T07:56:30Z

src/test/resources/application-test.yaml

+  level:
+    com.sprint.mission.discodeit: debug
+    org.hibernate.SQL: debug
+    org.hibernate.orm.jdbc.bind: trace


org.springframework.security 에 대한 로깅 레벨 적용이 필요해 보입니다.

spring-kang · 2025-10-22T07:59:46Z

src/main/java/com/sprint/mission/discodeit/service/basic/BasicUserService.java

+  private final BinaryContentRepository binaryContentRepository;
+  private final BinaryContentStorage binaryContentStorage;
+
+  PasswordEncoder passwordEncoder = new BCryptPasswordEncoder();


서비스에서 이렇게 생성해서 구현하는 것은 잘못된 방법입니다.

SecurityConfig 에서 빈 생성 메서드를 추가하시기 바랍니다.

spring-kang · 2025-10-22T08:00:28Z

src/main/java/com/sprint/mission/discodeit/auth/DiscodeitUserDetailsService.java

+    private final UserRepository userRepository;
+
+    @Override
+    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {


@Transactional(readOnly = true) 를 추가해주시면 좋을것 같아요

spring-kang · 2025-10-22T08:01:45Z

src/main/java/com/sprint/mission/discodeit/auth/CsrfController.java

+
+    @GetMapping("/me")
+    public ResponseEntity<UserDto> getUserMe(@AuthenticationPrincipal DiscodeitUserDetails userDetails) {
+        return ResponseEntity.ok(userDetails.getUserDto());


getUserDto 로 가져와서 사용하면 세션이 생성될때의 정보가 있어서, 최신정보와 차이가 있을 수 있습니다.
검증만하고 조회할때는 최신정보를 제공하기위해 서비스 에서 조회하는메서드를 호출해주시기 바랍니다.

spring-kang · 2025-10-22T08:04:12Z

src/main/java/com/sprint/mission/discodeit/auth/DiscodeitUserDetails.java

+
+    @Override
+    public Collection<? extends GrantedAuthority> getAuthorities() {
+        return List.of();


여기서 빈리스트를 조회해오는 로직이 보이는데, userDto 의 role 정보에 맞는 권한 리스트를 만들어주는 작업이 필요한것 같습니다.

spring-kang · 2025-10-22T08:05:50Z

src/main/java/com/sprint/mission/discodeit/exception/GlobalExceptionHandler.java

+
+@Slf4j
+@RestControllerAdvice
+public class GlobalExceptionHandler {


AuthorizationDeniedException 에 대한 핸들링도 커스텀하게 처리해주시기 바랍니다.

spring-kang · 2025-10-22T08:09:11Z

src/main/java/com/sprint/mission/discodeit/entity/User.java

+  @JsonManagedReference
+  @Setter(AccessLevel.PROTECTED)
+  @OneToOne(mappedBy = "user", cascade = CascadeType.ALL, orphanRemoval = true)
+  private UserStatus status;


세션 정보가 들어옴에 따라 제거가 필요해 보입니다.

spring-kang · 2025-10-22T08:10:52Z

심화내용에 대한 구현이 미흡해 보입니다. 추가학습을 통해 구현해보시면 더 좋을것 같습니다.

Sprint9 과제 제출

7f3a858

B1uffer changed the title ~~[신동진] Sprint9 과제 제출~~ [신동진] Sprint9 Oct 7, 2025

심화부분 일부 진행한것을 추가합니다.

ff2002f

spring-kang reviewed Oct 22, 2025

View reviewed changes

spring-kang approved these changes Oct 22, 2025

View reviewed changes

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

Uh oh!

[신동진] Sprint9 #132

[신동진] Sprint9 #132

Uh oh!

B1uffer commented Oct 7, 2025 •

edited

Loading

Uh oh!

spring-kang Oct 22, 2025

Uh oh!

spring-kang Oct 22, 2025

Uh oh!

spring-kang Oct 22, 2025

Uh oh!

spring-kang Oct 22, 2025

Uh oh!

spring-kang Oct 22, 2025

Uh oh!

spring-kang Oct 22, 2025

Uh oh!

spring-kang Oct 22, 2025

Uh oh!

spring-kang Oct 22, 2025

Uh oh!

spring-kang commented Oct 22, 2025

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

2 participants

[신동진] Sprint9 #132

Are you sure you want to change the base?

[신동진] Sprint9 #132

Uh oh!

Conversation

B1uffer commented Oct 7, 2025 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

요구사항

기본

Spring Security 환경설정

CSRF 보호 설정하기

회원가입

인증 - 로그인

인증 - 세션을 활용한 현재 사용자 정보 조회

인증 - 로그아웃

인가 - 권한 정의

인가 - 권한 적용

심화

세션 관리 고도화

로그인 고도화 - RememberMe

권한 적용 고도화

주요 변경사항

스크린샷

멘토에게

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

spring-kang commented Oct 22, 2025

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

2 participants

B1uffer commented Oct 7, 2025 •

edited

Loading