[Spring Security] 04. Spring Security + JWT 구현

implementation "io.jsonwebtoken:jjwt-api:0.11.5" runtimeOnly "io.jsonwebtoken:jjwt-impl:0.11.5" runtimeOnly "io.jsonwebtoken:jjwt-jackson:0.11.5"

// Jwt에 사용되는 key, 만료시간 private final String secretKey; private final long tokenValidityInSeconds; public String generateToken(User user) { Date now = new Date(); return Jwts.builder() // header 등록 .setHeader(createHeader()) // payload - clain 등록 .setClaims(createClaims(user)) // payload - iat(생성시간) 등록 .setIssuedAt(now) // payload -> exp(만료시간) 등록 .setExpiration(new Date(now.getTime()+ Duration.ofHours(3).toMillis())) // 해싱 알고리즘과 시크릿키 등록 .signWith(SignatureAlgorithm.HS256, jwtProperties.getSecret()) .compact(); } // Header private Map<String, Object> createHeader() { Map<String, Object> header = new HashMap<>(); header.put("typ", "JWT"); header.put("alg", "HS256"); // 해시 256 암호화 return header; } // Payload private Map<String, Object> createClaims(Member member) { Map<String, Object> claims = new HashMap<>(); claims.put("id", member.getMemberId()); claims.put("email", member.getEmail()); claims.put("name", member.getMemberName()); return claims; }

public boolean validToken(String token) { try { Jwts.parserBuilder() .setSigningKey(secretKey.getBytes()) .build() .parseClaimsJws(token); return true; } catch (io.jsonwebtoken.security.SecurityException | MalformedJwtException e) { // 유효하지 않은 구성의 JWT 토큰 log.info("잘못된 JW 서명이다."); } catch (ExpiredJwtException e) { // 만료된 JWT 토큰 log.info("만료된 JWT 토큰이다."); } catch (UnsupportedJwtException e) { // 지원되지 않은 형식이거나 구성의 JWT log.info("지원되지 않는 JWT 토큰이다."); } catch (IllegalArgumentException e) { // 잘못된 JWT log.info("JWT 토큰이 잘못되었다."); } return false; }

public class JwtAuthenticationFilter extends OncePerRequestFilter { private final TokenProvider tokenProvider; @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { String token = parseBearerToken(request); // 토큰값이 유요하다면 검증을 시작한다. if (token != null && tokenProvider.validToken(token)) { // 토큰 검증 (인증객체 생성) Authentication authentication = tokenProvider.getAuthentication(token); // SecurityContextHolder => 인증정보를 담는다. SecurityContextHolder.getContext().setAuthentication(authentication); log.info("Security Context에 {} 인증 정보를 저장했다", authentication.getPrincipal()); } else { log.info("유효한 JWT 토큰이 없습니다, uri: {}", request.getRequestURI()); } filterChain.doFilter(request, response); } /** * Authorization Bearer 제거(공백포함 7글자) * @param request 요청 request * @return token (없는경우 null) */ private String parseBearerToken(HttpServletRequest request) { return Optional.ofNullable(request.getHeader(HttpHeaders.AUTHORIZATION)) .filter(token -> token.length() >= 7 && token.substring(0, 7).equalsIgnoreCase("Bearer ")) .map(token -> token.substring(7)) .orElse(null); } }

public Authentication getAuthentication(String token) { Claims claims = Jwts.parserBuilder() .setSigningKey(secretKey.getBytes()) .build() .parseClaimsJws(token) .getBody(); // Authentication(인증) 구현체, (사용자 -, 비밀번호, 권한) return new UsernamePasswordAuthenticationToken(Member.from(claims), token, List.of(new SimpleGrantedAuthority("USER"))); }

@DeleteMapping("/{postId}") public ResponseEntity<?> postRemove(@AuthenticationPrincipal Member member, @PathVariable("postId") Long postId) {}

public Authentication getAuthentication(String token) { Claims claims = Jwts.parserBuilder() .setSigningKey(secretKey.getBytes()) .build() .parseClaimsJws(token) .getBody(); // Authentication(인증) 구현체, (사용자 -, 비밀번호, 권한) return new UsernamePasswordAuthenticationToken(Member.from(claims), token, List.of(new SimpleGrantedAuthority("USER"))); }

// https://mvnrepository.com/artifact/com.auth0/java-jwt implementation group: 'com.auth0', name: 'java-jwt', version: '4.2.1'

/* * SECRET 노출되면 안된다. (클라우드AWS - 환경변수, 파일에 있는 것을 읽을 수도 있고!!) * 리플래시 토큰 (X) */ public interface JwtVO { public static final String SECRET = "메타코딩"; // HS256 (대칭키) public static final int EXPIRATION_TIME = 1000 * 60 * 60 * 24 * 7; // 일주일 public static final String TOKEN_PREFIX = "Bearer "; public static final String HEADER = "Authorization"; }

@Getter @RequiredArgsConstructor public class LoginUser implements UserDetails { private final User user; @Override public Collection<? extends GrantedAuthority> getAuthorities() { // 권한추가 Collection<GrantedAuthority> authorities = new ArrayList<>(); authorities.add(() -> "ROLE_" + user.getRole()); return authorities; } @Override public String getPassword() { return user.getPassword(); } @Override public String getUsername() { return user.getUsername(); } @Override public boolean isAccountNonExpired() { return true; } @Override public boolean isAccountNonLocked() { return true; } @Override public boolean isCredentialsNonExpired() { return true; } @Override public boolean isEnabled() { return true; } }

@Service public class LoginService implements UserDetailsService { @Autowired private UserRepository userRepository; // 시큐리티로 로그인이 될때, 시큐리티가 loadUserByUsername() 실행해서 username을 체크!! // 없으면 오류, 있으면 정상적으로 시큐리티 컨텍스트 내부 세션에 로그인된 세션이 만들어진다. @Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { User userPS = userRepository.findByUsername(username).orElseThrow( () -> new InternalAuthenticationServiceException("인증 실패")); return new LoginUser(userPS); } }

@Slf4j public class JwtProcess { // 토큰 생성 public static String create(LoginUser loginUser) { String jwtToken = JWT.create() .withSubject("bank") .withExpiresAt(new Date(System.currentTimeMillis() + JwtVO.EXPIRATION_TIME)) .withClaim("id", loginUser.getUser().getId()) .withClaim("role", loginUser.getUser().getRole() + "") .sign(Algorithm.HMAC512(JwtVO.SECRET)); return JwtVO.TOKEN_PREFIX + jwtToken; } // 토큰 검증 // return 되는 LoginUser 객체를 강제로 시큐리티 세션에 직접 주입할 예정 public static LoginUser verify(String token) { // 시크릿 복호화 DecodedJWT decodedJWT = JWT.require(Algorithm.HMAC512(JwtVO.SECRET)) .build() .verify(token); Long id = decodedJWT.getClaim("id").asLong(); String role = decodedJWT.getClaim("role").asString(); User user = User.builder() .id(id) .role(UserEnum.valueOf(role)) .build(); LoginUser loginUser = new LoginUser(user); return loginUser; } }

public class JwtAuthenticationFilter extends UsernamePasswordAuthenticationFilter { private final Logger log = LoggerFactory.getLogger(getClass()); private AuthenticationManager authenticationManager; // 인증 관리자를 설정하고, 로그인 처리 URL을 설정 public JwtAuthenticationFilter(AuthenticationManager authenticationManager) { super(authenticationManager); setFilterProcessesUrl("/api/login"); this.authenticationManager = authenticationManager; } // 로그인 시도를 처리한다. // 사용자가 제공한 로그인 정보 DTO를 받아, UsernamePasswordAuthenticationToken 생성 // 이를 AuthenticationManager에 전달하여 인증시도 @Override public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException { log.debug("디버그 : attemptAuthentication 호출됨"); try { ObjectMapper om = new ObjectMapper(); LoginReqDto loginReqDto = om.readValue(request.getInputStream(), LoginReqDto.class); // 강제 로그인 UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken( loginReqDto.getUsername(), loginReqDto.getPassword()); // UserDetailsService의 loadUserByUsername 호출하며 인증과정 시작 // JWT를 쓴다 하더라도, 컨트롤러 진입을 하면 시큐리티의 권한체크, 인증체크의 도움을 받을 수 있게 세션을 만든다. // 이 세션의 유효기간은 request하고, response하면 끝!! Authentication authentication = authenticationManager.authenticate(authenticationToken); return authentication; } catch (Exception e) { // InternalAuthenticationServiceException -> config에서 설정한 예외를 호출한다. // unsuccessfulAuthentication 호출함 throw new InternalAuthenticationServiceException(e.getMessage()); } } // 로그인 실패 (attemptAuthentication 실패) @Override protected void unsuccessfulAuthentication(HttpServletRequest request, HttpServletResponse response, AuthenticationException failed) throws IOException, ServletException { CustomResponseUtil.fail(response, "로그인실패", HttpStatus.UNAUTHORIZED); } // 로그인 성공 (attemptAuthentication 성공) @Override protected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain, Authentication authResult) throws IOException, ServletException { log.debug("디버그 : successfulAuthentication 호출됨"); // 인증 정보를 토대로 JWT토큰 생성하고 반환 LoginUser loginUser = (LoginUser) authResult.getPrincipal(); String jwtToken = JwtProcess.create(loginUser); response.addHeader(JwtVO.HEADER, jwtToken); LoginRespDto loginRespDto = new LoginRespDto(loginUser.getUser()); CustomResponseUtil.success(response, loginRespDto); } }

/* * 모든 주소에서 동작함 (토큰 검증) */ public class JwtAuthorizationFilter extends BasicAuthenticationFilter { private final Logger log = LoggerFactory.getLogger(getClass()); public JwtAuthorizationFilter(AuthenticationManager authenticationManager) { super(authenticationManager); } // JWT 토큰 헤더를 추가하지 않아도 해당 필터는 통과는 할 수 있지만, 결국 시큐리티단에서 세션 값 검증에 실패함. @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws IOException, ServletException { if (isHeaderVerify(request, response)) { // 토큰이 존재함 log.debug("디버그 : 토큰이 존재함"); String token = request.getHeader(JwtVO.HEADER).replace(JwtVO.TOKEN_PREFIX, ""); LoginUser loginUser = JwtProcess.verify(token); log.debug("디버그 : 토큰이 검증이 완료됨"); // 임시 세션 (UserDetails 타입 or username) Authentication authentication = new UsernamePasswordAuthenticationToken(loginUser, null, loginUser.getAuthorities()); // id, role 만 존재 SecurityContextHolder.getContext().setAuthentication(authentication); log.debug("디버그 : 임시 세션이 생성됨"); } chain.doFilter(request, response); } private boolean isHeaderVerify(HttpServletRequest request, HttpServletResponse response) { String header = request.getHeader(JwtVO.HEADER); if (header == null || !header.startsWith(JwtVO.TOKEN_PREFIX)) { return false; } else { return true; } } }