티스토리

JAN's History

검색하기

블로그 홈

JAN's History

shinjaeeun.tistory.com/m

하지 않는 것보다 하고 나서 후회하는 게 훨씬 낫다

구독자: 0

방명록 방문하기

주요 글 목록

[최종] JWT 구현하기 : 생성하고 인증하기 JwtAuthorizationFilter extends BasicAuthenticationFilter 생성// 시큐리티가 filter를 가지고 있는데 그 필터중에 BasicAuthenticationFilter라는 것이 있음// 권한이나 인증이 필요한 특정 주소를 요청했을 때 위 필터를 무조건 타게 되어 있음// 만약에 권한이나 인증이 필요한 주소가 아니라면 이 필터를 사용하지 않음public class JwtAuthorizationFilter extends BasicAuthenticationFilter { public JwtAuthorizationFilter(AuthenticationManager authenticationManager) { super(authenticationManag.. 공감수 0 댓글수 0 2024. 7. 13.
JWT 구현하기 : 로그인 요청 시 JWT 응답(Response) RestApiController로그인 기능을 구현하기 전 회원가입을 먼저 진행해보자 @PostMapping("join") public String join(@RequestBody User user) { user.setPassword(bCryptPasswordEncoder.encode(user.getPassword())); user.setRoles("ROLE_USER"); userRepository.save(user); return "회원가입완료"; }SecurityConfig에 BCryptPasswordEncoder Bean으로 등록 @Bean public BCryptPasswordEncoder bCryptPasswordEnco.. 공감수 0 댓글수 0 2024. 7. 10.
JWT를 구현할 때 권한관리를 하기 위해 Authentication을 return 해야하는 이유 JWT를 공부하던 도중 Authentication 객체를 반환하는 이유가 권한 관리를 위해서라는 말이 이해가 가지 않아 정리해보기로 결심! 일단 저의 코드 구조를 대략적으로 적어보겠습니다.User @Id @GeneratedValue(strategy = GenerationType.IDENTITY) private long id; private String username; private String password; private String roles; //USER, ADMIN //하나의 유저당 role이 2개 이상일 경우를 대비해서! public List getRoleList(){ if(this.roles.length() > 0){ .. 공감수 0 댓글수 0 2024. 7. 8.
JWT 임시 토큰으로 필터 테스트 토큰을 검증하기 위한 필터 만들기필터를 이용하여 토큰 검증을 진행했을 때, 유효하지 않다면 해당 컨트롤러로 더이상 접근하지 못하도록 할 수 있습니다.public class MyFilter3 implements Filter { @Override public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException { HttpServletRequest req = (HttpServletRequest) servletRequest; HttpServletResponse res = (Http.. 공감수 0 댓글수 0 2024. 7. 6.
JWT를 구현하기전, Filter 등록 테스트 Spring Security Filter Chain필터를 등록하기 전, 스프링에서 제공하는 Filter Chain에 대해 꼭 알아두기를 바랍니다!이전 글에 정리해뒀으니 읽어보고 오시는 것을 추천드려요 :)Filter 생성하기public class MyFilter1 implements Filter { @Override public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException { System.out.println("Filter 1"); filterChain.doFilte.. 공감수 0 댓글수 0 2024. 7. 4.
JWT를 구현하기전, 인증/인가 동작 원리: FilterChain을 이해해보자! JWT을 위한 Filter를 구현하기 전, Spring SecurityFilterChain를 제대로 짚고 넘어가는 것이 좋을 것 같아 힘이 닿는데까지 공부해보기로 했습니다! Spring에서 JWT 필터 구현의 필요성?JWT를 하는데 왜 필터를 구현해야하는지 묻는 분들을 위해 이 부분도 짚고 넘어가려고해요! (제가그랬기 때문..)JWT(Json Web Token)은 HTTP프로토콜을 따라 stateless한 방식으로 인증을 처리합니다. 그렇다보니, 로그인 상태를 유지하기 위해 나온 것이 바로 JWT토큰이었는데요! 서버가 세션 상태를 유지할 필요 없이 클라이언트가 요청 시마다 JWT를 포함해 인증을 수행하며 인증과 인가를 처리하고 있었습니다.이를 위해 커스텀 필터를 구현해야하는 이유는 다음과 같아요. 1. .. 공감수 0 댓글수 0 2024. 7. 3.
JWT Basic, Bearer 인증 방식 Session은 동일 도메인에서만 가능하다만약 동일한 도메인에서의 요청이 아니라면, 쿠키가 날라가지 않는다(서버에서 쿠키가 거부하기 때문)그렇다면 javascript에서 Ajax로 헤더에 쿠키를 강제로 담아 보낼 수 있는데, 서버에서는 HTTP Only 설정을 통해 HTTP 요청이 아닌 javascript 요청이 들어오면 거부되는 설정을 한다.HTTP only = false로 풀어주면, 외부에서 javascript로 강제로 쿠키에 세션 ID를 담아 보내는 등의 악질적인 장난을 많이 치기 때문에 true로 설정하는 편이 좋다.Authorization서버로 요청을 보낼 때, 요청 헤더에 Authorizaion : 을 담아서 보냅니다.type에는 여러가지가 있지만 Basic, Bearer를 알아보겠습니다.B.. 공감수 0 댓글수 0 2024. 7. 1.
JWT를 사용하기 위한 security config 세팅 Maven com.auth0 java-jwt 3.16.0application.ymlserver: port: 8080 servlet: context-path: / encoding: charset: UTF-8 enabled: true force: truespring: datasource: driver-class-name: com.mysql.cj.jdbc.Driver url: jdbc:mysql://localhost:3306/{your_database}?serverTimezone=Asia/Seoul username: {your_username} password: {your_password} jpa: hibernate: .. 공감수 0 댓글수 0 2024. 6. 30.
JWT의 구조 이해하기 JWT란?RFC 7519 웹 표준으로 지정 되어 있고,Json 을 사용해서 토큰 자체에 정보들을 저장 하고 있는 Web Token이라고 정의 된다.기본적으로 HTTP protocl은 Stateless 상태인데, 이 특징을 유지하면서도 로그인 상태 유지를 가능하게 해주는 것이 JWT토큰이다!RFC 7519https://www.rfc-editor.org/rfc/rfc7519 RFC 7519: JSON Web Token (JWT) www.rfc-editor.orgJWT 공식 사이트https://jwt.io/ JWT.IOJSON Web Tokens are an open, industry standard RFC 7519 method for representing claims securely between two .. 공감수 0 댓글수 0 2024. 6. 28.
JWT를 이해하기전 RSA에 대해 알아보자! 저번 시간에는 CIA에 대해 알아보았는데1. 열쇠 전달 문제 (암호화한 문서에 대한 키를 보내는데 중간에 가로챌 수 있는 문제)2. 누가 문서를 보냈는가? (중간에 누군가 가로채 다른 사람이 문서인지 확인할 수 없던 문제) 에 대한 문제가 해결되지 않았습니다.RSA(암호화)1. 열쇠 전달 문제Public Key : 공개 키자신의 블로그나 오픈된 공간에 공개해도 문제가 되지 않음Private Key : 개인 키오직 자신만 알고 있어야 함.=> 유저는 각자 각 1개씩, 총 2개 키를 가지고 있다.A가 비밀번호를 보낼 때, B의 공개키로 암호화를 한 뒤 보냈다.하지만, 중간에 C가 중간에 가로챘다. 하지만 C는 내용을 볼 수가 없다. 왜? B의 공개키는 반드시 B의 개인키로만 열 수 있으므로➡️ 열쇠 전달 문.. 공감수 0 댓글수 0 2024. 6. 26.
JWT를 이해하기전 CIA에 대해서 알아보자! CIA(Confidentiality Integrity Availability)저번에 TCP에 대해 알아봤으니 오늘은 보안에 대해 알아보도록 하겠습니다!Confidentiality(기밀성) : 개인정보, 민감한 정보 등을 인가된 사용자에게만 허가Integrity(무결성) : 내용의 변경이나, 훼손없이 정확하게 보존Availability(가용성) : 항상 정상적으로 신뢰성 있는 서비스를 할 수 있는 상태 예를 들어 A/B/C가 있다고 해보면, A가 B에게 문서를 전달하는데, 중간에 C가 문서를 탈취하면 기밀성이 깨지게 됩니다.A나라가 B나라에게 문서를 전달하는데, 이번에는 C나라가 위조된 문서를 전달시키면 무결성이 깨집니다.B나라는 A나라가 보내준 문서를 잘 받았습니다. (사실 C나라가 위조시킨 문서임) 이.. 공감수 0 댓글수 0 2024. 6. 24.
JWT를 이해하기 전 TCP에 대해 알아보자! 웹에는 통신방식으로 OSI 7계층을 따르는데요.이 계층 방식을 이해해야 TCP방식을 알게되고, TCP방식을 이해해야 보안이 무엇인지를 알게되고,보안이 무엇인지를 알게되야 왜 Json Web Token이 나온지에 대해 이해할 수 있습니다!하나를 알기위해 열을 알아야하지만.. JWT가 왜 나왔는지 배경지식을 이렇게 알아야 비로소 내 지식으로 만들 수 있어요:) 통신 OSI 7계층웹에는 통신방식으로 OSI 7계층을 따르는데요.통신을 할 때에는 응용계층부터 물리계층까지 쭉 내려와서 전송이 되고, 상대방도 전송받을 때 물리계층으로 응용계층까지 쭉 올라가서 수신을 하게 됩니다. 심지어 메일을 보낼때에도 모두 이런 방식을 따르게 돼요.통신 OSI 7계층 역할그리고 각 계층마다 역할이 있는데요.7. 응용계층 : Mes.. 공감수 0 댓글수 0 2024. 6. 22.
JWT는 무엇이고 어디에 쓰일까? 쿠키, 세션 로직1. web에서 최초 요청을 합니다.2. 서버에서 쿠키와 세션 ID (ABCD) 를 생성하고 세션 저장소에 기록해둡니다.3. html header에 쿠키와 세션 ID(ABCD)를 같이 return합니다.4. web에서는 응답받은 쿠키 세션 ID (ABCD) 를 가지고 있습니다.5. 그리고 두번째 요청할 때 부터는 web 자체에서 쿠키와 세션 ID (ABCD) 를 가지고 갑니다.6. 서버는 DB에서 쿠키 세션 ID (ABCD) 가 있는지 확인만 합니다. (없으면 새로 만들어요)➡️즉, 세션 ID는 최초 요청시에 생성하고 그 이후부터는 세션 ID (ABCD) 를 web에서 들고옵니다.세션 ID가 사라질 때1. 서버에서 세션 값을 삭제할 때2. 사용자가 브라우저를 닫을 때3. 시간이 만료될 때.. 공감수 0 댓글수 0 2024. 6. 20.
Spring Security - OAuth2 session 방식으로 구현 해보기(Google,Facebook,Naver) OAuth2.0 동작 원리OAuth2 인증 과정클라이언트가 서버로 로그인 요청:사용자가 클라이언트 애플리케이션에서 로그인 버튼을 클릭하면, 클라이언트는 /oauth2/authorization/서비스명 엔드포인트로 요청을 보냅니다.OAuth2AuthorizationRequestRedirectFilter 동작:클라이언트의 요청을 받으면, OAuth2AuthorizationRequestRedirectFilter가 동작하여 사용자를 등록된 소셜 로그인 인증 서버(예: 네이버, 구글)로 리다이렉션합니다.외부 소셜 로그인 인증 서버로 리다이렉션:사용자는 네이버나 구글 로그인 페이지로 이동하여 인증을 진행합니다.인증 서버에 등록된 우리 서버의 주소로 리다이렉션:사용자가 소셜 로그인 인증을 성공하면, 인증 서버는 우리.. 공감수 2 댓글수 0 2024. 6. 17.
Spring Security Session 권한처리 Http Request로 username과 password를 통한 post요청이 옵니다.AuthenicationFliter가 UsernamePasswordAuthentication에게 이 요청을 전달하면, HttpServlet에서 username과 password를 추출해서 UsernamePasswordAuthenticationToken 객체를 생성합니다. UsernamePasswordAuthenticationToken 은 AuthenticationManager에게 넘겨지고, AuthenticationManager는 해당 UsernamePasswordAuthenticationToken 을 인증할 수 있는 AuthenticationProvider을 찾아서 인증을 진행합니다.이때 인증 과정이 실패하면 Sec.. 공감수 0 댓글수 1 2024. 6. 14.
로그인 필터 구현 Spring 로그인 모식도 로그인 요청(POST: /login)사용자가 Username과 Password를 제출합니다.UsernamePasswordAuthenticationFilter가 인증 요청을 처리합니다.인증처리AuthenticationManager가 UserDetailsService와 UserRepository를 통해 사용자 정보를 확인하고 인증합니다.인증에 성공하면 SuccessfulAuthentication 객체를 반환합니다.인증에 실패하면 unsuccessfulAuthentication 객체를 반환합니다.JWT토큰 생성JWTUtil (또는 JWTProvider)이 SuccessfulAuthentication 객체를 사용해 JWT 토큰을 생성합니다.응답 반환JWT 토큰이 응답에 포함되어 클라이.. 공감수 0 댓글수 0 2024. 6. 12.
SecurityConfig 클래스 SecurityConfig SecurityConfig는 스프링 시큐리티의 인가 및 설정을 담당하는 클래스인데요. Security Config 구현은 스프링 시큐리티의 세부 버전별로 많이 다릅니다! 저는 스프링 시큐리티 6.2.1 버전으로 구현했어요.자주 접할 수 있는 버전에 대한 구현 차이는 아래 영상을 통해 확인할 수 있습니다.https://youtu.be/NdRVhOccuOs?si=FufI38WMhTs3TVr8 Security Config 클래스 기본 요소 작성시큐리티 JWT 구현을 위한 Config 클래스의 일부분을 작성할 예정입니다. 먼저 기본적인 설정만 진행하고 시리즈를 진행하며 커스텀 필터 요소들을 추가 구현할 예정입니다. SecurityConfig @Configuration@EnableWeb.. 공감수 0 댓글수 0 2024. 6. 11.
CSRF Token의 개념과 공격 CSRF 공격 개념크로스 사이트 요청 위조(Cross-Site Request Forgery, CSRF)는 사용자의 의지와 무관하게 공격자가 의도한 특정 요청을 서버로 보내도록 하는 웹 보안 공격입니다. 이는 사용자가 정상적으로 로그인을 하고 권한을 획득한 상태에서 발생합니다. 공격자는 사용자를 속여 피싱 사이트에 접속하게 하고, 해당 사이트에서 사용자로 하여금 변조된 요청을 서버로 보내도록 합니다. 이를 통해 공격자는 사용자의 권한을 악용하여 서버에 비정상적인 요청을 보낼 수 있습니다.CSRF 공격 예시여기 간단한 예시로 이해해보겠습니다:상황: 사용자가 "인스타그램"이라는 웹사이트에 로그인을 했습니다. 이 웹사이트에서는 사진을 업로드할 수 있습니다.공격자: 공격자는 피싱 사이트를 만들어 사용자가 이 사이.. 공감수 0 댓글수 0 2024. 6. 8.
JWT 인증 방식 시큐리티 동작 원리 회원가입내부 회원가입 로직은 세션 방식과 JWT 방식의 차이가 없다.Api 서버이기 때문에 POST URL로 데이터를 요청합니다.JoinController에서 어느정도 로직을 진행하고JoinService에서 UserEntity로 데이터를 담아서 DB, UserRepository에 저장합니다. 로그인 (인증)로그인 요청을 받은 후 세션 방식은 서버 세션이 유저 정보를 저장하지만 JWT 방식은 토큰을 생성하여 응답한다.username, password로 요청이 오면 AuthenticationFilter를 통해서 특정한 회원검증을 하는 로직을 작성합니다.AuthenticationManager를 통해 내부 DB의 Id와 PW를 던져서 유저를 검증합니다.성공적으로 검증이 되면 successfulAuth메서드를통.. 공감수 0 댓글수 0 2024. 6. 5.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.