カスタム認証を使用した React-Spring アプリでの 401 Unauthorized Spring Security エラーの修正

解決策 1: ステートレス セッション管理のための Spring Security 構成の更新

このアプローチでは、Spring Security のステートレス セッション ポリシーを使用して、React のようなシングル ページ アプリケーション (SPA) 向けに最適化された REST API コンテキストでのセッション管理を解決します。ここでは、REST API ステートレス モデルに一致するように SecurityFilterChain 構成を調整します。

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        .csrf(csrf -> csrf.disable())  // Disable CSRF for REST APIs
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/user/register", "/user/login").permitAll()
            .anyRequest().authenticated()
        )
        .httpBasic(Customizer.withDefaults())
        .sessionManagement(session ->
            session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        )
        .build();
}

解決策 2: トークンベース認証用のカスタム認証フィルター

このソリューションでは、カスタム フィルターがユーザーを認証し、応答ヘッダーにトークンを添付します。このフィルターはトークンベースの認証を使用します。これは RESTful アプリケーションに最適であり、React とシームレスに連携できます。

@Component
public class CustomAuthFilter extends OncePerRequestFilter {
    private final AuthenticationManager authenticationManager;
    public CustomAuthFilter(AuthenticationManager authManager) {
        this.authenticationManager = authManager;
    }
    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                    HttpServletResponse response,
                                    FilterChain filterChain)
                                    throws ServletException, IOException {
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            Authentication authentication = new UsernamePasswordAuthenticationToken(token, null);
            Authentication authResult = authenticationManager.authenticate(authentication);
            SecurityContextHolder.getContext().setAuthentication(authResult);
        }
        filterChain.doFilter(request, response);
    }
}

解決策 3: サービス クラスの調整とトークンの応答

このサービス実装は、モジュール設計を使用してログイン成功時に JWT トークンを送信し、各機能がアプリケーション全体でテスト可能で再利用可能であることを保証します。

@Service
public class AuthenticationService {
    private final AuthenticationManager authenticationManager;
    private final TokenProvider tokenProvider; // Custom class for generating JWTs
    public AuthenticationService(AuthenticationManager authenticationManager,
                                 TokenProvider tokenProvider) {
        this.authenticationManager = authenticationManager;
        this.tokenProvider = tokenProvider;
    }
    public String authenticateAndGenerateToken(LoginDTO loginDTO) {
        Authentication authentication = authenticationManager
            .authenticate(new UsernamePasswordAuthenticationToken(loginDTO.getUserName(),
                                                                loginDTO.getPassword()));
        SecurityContextHolder.getContext().setAuthentication(authentication);
        return tokenProvider.createToken(authentication);
    }
}

トークンの生成と認証の単体テスト

この JUnit テストは、認証とトークン生成が正しく機能することを確認し、安全なリソースにアクセスするための認証を検証します。

@SpringBootTest
@AutoConfigureMockMvc
public class AuthenticationServiceTest {
    @Autowired
    private MockMvc mockMvc;
    @MockBean
    private AuthenticationService authenticationService;
    @Test
    public void testAuthenticateAndGenerateToken() throws Exception {
        LoginDTO loginDTO = new LoginDTO("user", "password");
        String token = authenticationService.authenticateAndGenerateToken(loginDTO);
        mockMvc.perform(MockMvcRequestBuilders.post("/login")
                .contentType(MediaType.APPLICATION_JSON)
                .content("{\\"userName\\":\\"user\\", \\"password\\":\\"password\\"}"))
                .andExpect(status().isOk())
                .andExpect(header().exists("Authorization"))
                .andExpect(content().string("Successfully Authenticated"));
    }
}

Spring Security のカスタム認証の問題に関するよくある質問

1. を設定した後でも 401 Unauthorized エラーが発生するのはなぜですか SecurityContextHolder?
2. 401 エラーは、認証コンテキストが持続しない場合によく発生します。アプリケーションがステートレスである場合は、トークンベースの認証を使用していることを確認してください。
3. Spring Security でステートレス セッション管理を有効にするにはどうすればよいですか?
4. セット SessionCreationPolicy.STATELESS あなたの中で SecurityFilterChain 各リクエストが独立して認証されることを保証します。
5. の役割は何ですか DaoAuthenticationProvider カスタム認証では?
6. の DaoAuthenticationProvider ユーザーの資格情報をデータベースと照合して検証し、安全な認証のためにパスワードをエンコードします。
7. Spring Security でのセッション管理に JWT トークンを使用できますか?
8. はい、JWT トークンはステートレス アプリケーションに最適です。認証後にトークンを生成し、後続のリクエストのヘッダーにトークンを含めます。
9. CSRF 保護はステートレス API にどのような影響を与えますか?
10. CSRF 保護は通常、ステートレス API では次を使用して無効になります。 csrf().disable() セッションのない API には不要であるためです。
11. ログインや登録などの一部のエンドポイントへのパブリック アクセスを許可したい場合はどうすればよいですか?
12. 使用 authorizeHttpRequests そして、認証なしでアクセスできるエンドポイントを指定します。 permitAll()。
13. React を使用してクライアント側にトークンを保存するにはどうすればよいですか?
14. トークンを保管する場所 localStorage または sessionStorage、バックエンドが各リクエストを確実に認証できるように、それらを各リクエストのヘッダーに含めます。
15. API の CSRF を無効にしても安全ですか?
16. CSRF は主に Cookie ベースの攻撃から保護するため、アプリがトークンに依存している場合、または Cookie を使用していない場合は、API の CSRF を無効にしても安全です。
17. 機能は何ですか OncePerRequestFilter カスタム認証では?
18. このフィルターはリクエストごとに 1 回だけ実行され、リクエスト サイクルで冗長なチェックを行わずに認証ロジックが一貫して適用されるようにします。
19. 私の認証トークンが異なるエンドポイント間で認識されないのはなぜですか?
20. 各リクエストのヘッダーにトークンを設定していることを確認し、一貫したトークン検証プロセスを使用してサーバー上でトークンが正しく検証されていることを確認してください。
21. Spring Security 構成をテストするにはどうすればよいですか?
22. 使用 MockMvc テストでリクエストをシミュレートし、認証応答をチェックし、保護されたエンドポイントがログイン後にのみアクセスできることを検証します。

カスタム Spring Security 認証の 401 エラーの解決に関する最終的な考え

カスタム ログイン ページを使用して Spring ベースのアプリケーションを適切に保護するには、特にステートレス セッションまたはトークン ベースのアプローチを使用する場合は、慎重な構成が必要です。 React フロントエンドと統合する場合、セキュリティ構成が RESTful でステートレスな原則に準拠していることを確認すると、セッションの問題を回避できます。

修正から セキュリティフィルターチェーン 設定からトークンベースのフローの実装まで、それぞれのアプローチが信頼性の高い認証セットアップの作成に役割を果たします。セッション管理、トークン処理、SecurityContext を理解することで、Spring Security アプリケーションの 401 Unauthorized エラーを解決する準備が整います。 🔒