[Day 91] Spring Security 기본

학습 주제

 

Spring Security란?
Spring Security를 사용해야 하는 이유
Hello, Spring Security로 알아보는 Spring Security의 기본 구조

 

---

 

새롭게 배운 내용

 

2022.09.21 - [Back-End/Spring Security] - Spring Security 기본

2022.09.22 - [Back-End/Spring Security] - Spring Security 웹 요청 처리 흐름 | 서블릿 필터와 필터 체인

• @Bean 등록 시 @Order(1)을 붙이면 우선순위를 정할 수 있다. 숫자가 낮을수록 순위가 높다.
• DB에 비밀번호 저장 시 암호화는 필수다!!!

 

 

보강할 내용

 

보안 공격

• 세션 고정(Session Fixation) 공격
• 클릭재킹 공격
• CSRF

Java 애플리케이션을 위한 보안 프레임워크

• Apache Shiro
• OACC

• SSR 방식의 Controller 구현 방식
• Ant Pattern
• XML Name Space

Spring Security

• PasswordEncoder
• bcrypt 알고리즘
• 단방향 암호화
• Clickjacking 공격
  • https://en.wikipedia.org/wiki/Clickjacking
  • https://ko.wikipedia.org/wiki/%ED%81%B4%EB%A6%AD%EC%9E%AC%ED%82%B9

 

 

회고

 

이전부터 보안 파트와 로그인을 구성하는 방법에 대해 너무너무 궁금했는데 드디어 오늘 Spring Security의 개념을 익히고 로그인을 구현해 보는 예제를 진행했다! Spring Security는 Spring MVC 기반 애플리케이션의 인증과 인가 기능을 지원하는 보안 프레임워크이다. 지원하는 기능들을 보니 정말 웹에서 필요한 보안들이 다 속해 있는 것처럼 보였다.

크게 InMemory를 사용하는 방법과 DB를 연동하여 사용하는 방법을 정리하면서 Spring Securty에 대해 파악했다. 로그인 구현에 대해 학습해 본 후기는 정말 Spring Security가 다 해 줘서 놀랍다는 것이다. Spring 보안 프레임워크가 있다는 것은 알았지만 이 기능들을 다 지원해 준다니 너무 신기하고 놀랍다.

애플리케이션의 사용자인 주체는 하나 이상의 권한을 가진다. 이 권한에 따라 리소스 접근을 허가할 수도 있고 그렇지 않을 수도 있다. 리소스에 접근하려면 인가된 역할을 인증하는 과정이 반드시 수행되어야 한다.

코드를 작성해 가며 흐름을 파악했지만, 양이 워낙 많아서 정해진 학습량을 다 소화하지는 못했다. 게다가 오늘도 오류를 마주해서 1시간 이상을 썼다. 타임리프의 한 라인에서 빨간 줄이 자꾸 떴다. ㄱ- 스터디원에게 도움을 요청했는데 이번에도 곧바로 답이 나왔다. 허무하게도 build.gradle 파일에서 이미 추가된 줄 알았던 의존 관계가 설정되어 있지 않았다. sec 태그를 사용하려면 의존 라이브러리가 필요하다. 이번에도 큰 문제가 아니라 다행이지만 이런 작은 문제를 혼자 해결하지 못했다니 답답했다. 이런 비슷한 오류가 뜨면 꼭 반드시 먼저 설정 파일을 확인해야겠다.

 

★★★★☆