서비스의 인증과 권한 부여

 

JWT란 무엇인가?

JWT는 JSON Web Token의 약자로, 두 시스템 간에 정보를 안전하게 전송하기 위해 사용되는 토큰 기반 인증 방식입니다. 예를 들어, 클라이언트와 서버 간에 인증 정보나 사용자 상태를 유지하고 싶을 때 JWT를 활용합니다. JWT는 JSON 형태로 데이터를 저장하며, 그 데이터는 서명(약간에 암호화)되어 안전하게 교환됩니다.

JWT의 구조

JWT는 세 부분으로 구성됩니다:

• Header (헤더): 토큰의 타입과 해싱 알고리즘 정보를 담고 있습니다. 보통 'alg' (알고리즘)와 'typ' (타입)이라는 두 가지 속성이 포함되며, 예를 들어, {"alg": "HS256", "typ": "JWT"} 형태입니다.
• Payload (페이로드): 주로 사용자 정보나 데이터(claims)를 포함하는 부분입니다. 여기에는 사용자 ID, 사용자이름, 토큰 만료 시간 등의 정보가 담겨 있습니다.
• Signature (서명): 헤더와 페이로드의 내용을 해싱한 뒤, 비밀키로 서명한 부분입니다. 이 서명을 통해 데이터가 위변조되지 않았음을 확인할 수 있습니다.

JWT의 작동 방식

JWT는 클라이언트가 서버에 인증 요청을 보내면 서버에서 토큰을 발급합니다. 이 발급된 토큰은 클라이언트에 저장되어 있으며, 이후 요청을 보낼 때 이 토큰을 포함합니다. 서버는 토큰을 검증하여 클라이언트가 올바른 사용자임을 확인합니다. 이를 통해 세션을 유지하지 않고도 사용자 인증을 할 수 있어 서버 부하가 줄어들고 확장성이 높아집니다.

JWT의 장점과 단점

• 장점:
  • 확장성: 서버에 세션을 저장할 필요가 없으므로 서버 확장에 유리합니다.
  • 독립적 인증: 각 요청에 대해 JWT를 포함하므로 상태를 서버에 저장할 필요가 없습니다.
  • 자기 포함(Self-contained): JWT 자체에 필요한 정보를 포함하고 있으므로, 서버에서 사용자 정보를 따로 찾을 필요가 없습니다.
• 단점:
  • 보안 위험: JWT가 한번 발급되면 만료 전까지는 유효합니다. 따라서 토큰이 탈취당하면 위험할 수 있습니다.
  • Payload 노출: JWT는 Base64로 인코딩되므로, 암호화된 것이 아니기 때문에 누구든 Payload 부분을 디코딩할 수 있습니다. 민감한 정보는 포함하면 안 됩니다.

JWT 사용 사례

• API 인증: REST API에서 인증을 위해 많이 사용됩니다. 클라이언트가 매 요청마다 서버에 JWT를 포함해 보내고, 서버는 이를 통해 인증합니다.
• SSO (Single Sign-On): JWT를 통해 여러 시스템 간의 단일 로그인을 구현할 수 있습니다. 사용자가 한 번 로그인하면 다른 시스템에서도 동일하게 인증된 상태가 유지됩니다.

 

링크 확인

JWT.IO

• 서명(Signing): JWT의 서명은 토큰이 변조되지 않았음을 보장하는 과정입니다.
• 암호화(Encryption): 암호화는 데이터를 보호하여 다른 사람이 볼 수 없게 만드는 과정입니다.

결론적으로, 대칭키 방식으로 JWT 서명을 사용하는 것과, 데이터를 암호화하여 보호하는 것은 별개의 개념입니다. 대칭키 방식에서는 서명을 통해 데이터의 무결성을 확인하며, 데이터 보호는 HTTPS나 다른 암호화 기법을 통해 처리해야 합니다.

따라서 HTTP로 통신을 하고 있다면, JWT 자체는 암호화되지 않고 평문으로 전송되기 때문에 HTTPS 사용이 강력히 권장됩니다.

 

LoginInterceptor

package com.tenco.blog_v3.common.config;

import com.auth0.jwt.exceptions.JWTDecodeException;
import com.auth0.jwt.exceptions.TokenExpiredException;
import com.tenco.blog_v3.common.errors.Exception401;
import com.tenco.blog_v3.common.errors.Exception500;
import com.tenco.blog_v3.common.utils.Define;
import com.tenco.blog_v3.common.utils.JwtUtil;
import com.tenco.blog_v3.user.User;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import org.springframework.web.servlet.HandlerInterceptor;
import org.springframework.web.servlet.ModelAndView;

// IoC 를 안한 상태 이다.
public class LoginInterceptor implements HandlerInterceptor {

    /**
     * 컨트롤러 메서드 호출 전에 실행 되는 메서드 이다.
     * @param request current HTTP request
     * @param response current HTTP response
     * @param handler chosen handler to execute, for type and/or instance evaluation
     * @return
     * @throws Exception
     */
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {

        String jwt = request.getHeader(Define.AUTHORIZATION);

        if(jwt == null || ! jwt.startsWith(Define.BEARER)) {
            throw new Exception401("JWT 토큰을 전달해주세요");
        }

        jwt = jwt.replace(Define.BEARER, "");

        try {
            User sessionUser = JwtUtil.verify(jwt);
            request.setAttribute(Define.SESSION_USER, sessionUser);
            return  true;

        } catch (TokenExpiredException e) {
            throw new Exception401("토큰 만료 시간이 지났습니다. 다시 로그인 하세요");
        } catch (JWTDecodeException e) {
            throw new Exception401("유효하지 않은 토큰입니다");
        } catch (Exception e) {
            throw new Exception500("서버 오류 : " + e.getMessage());
        }
    }

    /**
     * 컨트롤러 실행 후, 뷰가 렌더링되기 전에 실행되는 메서드
     */
    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
        HandlerInterceptor.super.postHandle(request, response, handler, modelAndView);
    }

    /**
     * 뷰가 렌더링 된 후 실행되는 메서드
     */
    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        HandlerInterceptor.super.afterCompletion(request, response, handler, ex);
    }
}

 

 

WebConfig

package com.tenco.blog_v3.common.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

// @Component  // IOC
@Configuration
public class WebConfig implements WebMvcConfigurer {

    @Autowired // DI 처리
    private LoginInterceptor loginInterceptor;

    /**
     * 인터셉터를 등록하고 적용할 URL 패턴을 설정하는 메서드이다.
     * @param registry
     */
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        // 로그인 인터셉터 등록
        registry.addInterceptor(loginInterceptor)
                .addPathPatterns("/api/**")  // 인터셉터를 적용할 경로 패턴 설정
                .excludePathPatterns("/board/{id:\\d+}");
                // 인터셉터 적용에서 제외할 URL 패턴 설정
                // /board/1, /board/33  <-- 로그인 인터셉터에서 제외
                // \d+ 숫자 하나 이상을 의미하는 정규 표현식 패턴

        // 관리자용 인터셉터 등록

    }
}