사용자 정의 인증을 사용하는 React-Spring 앱에서 401 무단 Spring 보안 오류 수정

솔루션 1: 상태 비저장 세션 관리를 위한 Spring 보안 구성 업데이트

이 접근 방식은 Spring Security의 상태 비저장 세션 정책을 사용하여 React와 같은 단일 페이지 애플리케이션(SPA)에 최적화된 REST API 컨텍스트에서 세션 관리를 해결합니다. 여기서는 REST API 상태 비저장 모델과 일치하도록 SecurityFilterChain 구성을 조정합니다.

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        .csrf(csrf -> csrf.disable())  // Disable CSRF for REST APIs
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/user/register", "/user/login").permitAll()
            .anyRequest().authenticated()
        )
        .httpBasic(Customizer.withDefaults())
        .sessionManagement(session ->
            session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        )
        .build();
}

해결 방법 2: 토큰 기반 인증을 위한 사용자 지정 인증 필터

이 솔루션에서는 사용자 지정 필터가 사용자를 인증하고 응답 헤더에 토큰을 첨부합니다. 이 필터는 RESTful 애플리케이션에 이상적이며 React와 원활하게 작동할 수 있는 토큰 기반 인증을 사용합니다.

@Component
public class CustomAuthFilter extends OncePerRequestFilter {
    private final AuthenticationManager authenticationManager;
    public CustomAuthFilter(AuthenticationManager authManager) {
        this.authenticationManager = authManager;
    }
    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                    HttpServletResponse response,
                                    FilterChain filterChain)
                                    throws ServletException, IOException {
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            Authentication authentication = new UsernamePasswordAuthenticationToken(token, null);
            Authentication authResult = authenticationManager.authenticate(authentication);
            SecurityContextHolder.getContext().setAuthentication(authResult);
        }
        filterChain.doFilter(request, response);
    }
}

솔루션 3: 서비스 클래스 조정 및 토큰 응답

이 서비스 구현은 모듈식 설계를 사용하여 성공적인 로그인 시 JWT 토큰을 전송하여 애플리케이션 전체에서 각 기능을 테스트하고 재사용할 수 있도록 합니다.

@Service
public class AuthenticationService {
    private final AuthenticationManager authenticationManager;
    private final TokenProvider tokenProvider; // Custom class for generating JWTs
    public AuthenticationService(AuthenticationManager authenticationManager,
                                 TokenProvider tokenProvider) {
        this.authenticationManager = authenticationManager;
        this.tokenProvider = tokenProvider;
    }
    public String authenticateAndGenerateToken(LoginDTO loginDTO) {
        Authentication authentication = authenticationManager
            .authenticate(new UsernamePasswordAuthenticationToken(loginDTO.getUserName(),
                                                                loginDTO.getPassword()));
        SecurityContextHolder.getContext().setAuthentication(authentication);
        return tokenProvider.createToken(authentication);
    }
}

토큰 생성 및 인증을 위한 단위 테스트

이 JUnit 테스트는 인증 및 토큰 생성이 올바르게 작동하는지 확인하고 보안 리소스에 액세스하기 위한 인증의 유효성을 검사합니다.

@SpringBootTest
@AutoConfigureMockMvc
public class AuthenticationServiceTest {
    @Autowired
    private MockMvc mockMvc;
    @MockBean
    private AuthenticationService authenticationService;
    @Test
    public void testAuthenticateAndGenerateToken() throws Exception {
        LoginDTO loginDTO = new LoginDTO("user", "password");
        String token = authenticationService.authenticateAndGenerateToken(loginDTO);
        mockMvc.perform(MockMvcRequestBuilders.post("/login")
                .contentType(MediaType.APPLICATION_JSON)
                .content("{\\"userName\\":\\"user\\", \\"password\\":\\"password\\"}"))
                .andExpect(status().isOk())
                .andExpect(header().exists("Authorization"))
                .andExpect(content().string("Successfully Authenticated"));
    }
}

Spring Security 사용자 정의 인증 문제에 대한 일반적인 질문

1. 설정한 후에도 401 Unauthorized 오류가 계속 발생하는 이유는 무엇입니까? SecurityContextHolder?
2. 인증 컨텍스트가 지속되지 않으면 401 오류가 자주 발생합니다. 애플리케이션이 Stateless인 경우 토큰 기반 인증을 사용하고 있는지 확인하세요.
3. Spring Security에서 상태 비저장 세션 관리를 어떻게 활성화합니까?
4. 세트 SessionCreationPolicy.STATELESS 당신의 SecurityFilterChain 각 요청이 독립적으로 인증되도록 합니다.
5. 역할은 무엇입니까? DaoAuthenticationProvider 사용자 정의 인증에서?
6. 그만큼 DaoAuthenticationProvider 데이터베이스에 대해 사용자 자격 증명을 확인하고 보안 인증을 위해 비밀번호를 인코딩합니다.
7. Spring Security에서 세션 관리를 위해 JWT 토큰을 사용할 수 있나요?
8. 예, JWT 토큰은 상태 비저장 애플리케이션에 이상적입니다. 인증 후 토큰을 생성하고 후속 요청을 위해 헤더에 포함합니다.
9. CSRF 보호는 상태 비저장 API에 어떤 영향을 미치나요?
10. CSRF 보호는 일반적으로 다음을 사용하여 상태 비저장 API에서 비활성화됩니다. csrf().disable() 세션이 없는 API에는 불필요하기 때문입니다.
11. 로그인이나 등록과 같은 일부 엔드포인트에 대한 공개 액세스를 허용하려면 어떻게 해야 합니까?
12. 사용 authorizeHttpRequests 다음을 사용하여 인증 없이 액세스할 수 있는 엔드포인트를 지정합니다. permitAll().
13. React를 사용하여 클라이언트 측에 토큰을 어떻게 저장합니까?
14. 토큰을 저장하세요 localStorage 또는 sessionStorage, 그런 다음 백엔드가 각 요청을 인증할 수 있도록 각 요청의 헤더에 이를 포함합니다.
15. API용 CSRF를 비활성화해도 안전합니까?
16. CSRF는 주로 쿠키 기반 공격으로부터 보호하므로 앱이 토큰에 의존하거나 쿠키를 사용하지 않는 경우 API에 대해 CSRF를 비활성화하는 것이 안전합니다.
17. 의 기능은 무엇입니까? OncePerRequestFilter 사용자 정의 인증에서?
18. 이 필터는 요청당 한 번만 실행되므로 요청 주기에서 중복 확인 없이 인증 논리가 일관되게 적용됩니다.
19. 내 인증 토큰이 다른 엔드포인트에서 인식되지 않는 이유는 무엇입니까?
20. 각 요청의 헤더에 토큰을 설정하고 일관된 토큰 확인 프로세스를 사용하여 서버에서 토큰이 올바르게 검증되었는지 확인하세요.
21. Spring Security 구성을 어떻게 테스트할 수 있나요?
22. 사용 MockMvc 요청을 시뮬레이션하고, 인증 응답을 확인하고, 로그인 후에만 보호된 엔드포인트에 액세스할 수 있는지 확인하는 테스트에서.

사용자 정의 Spring 보안 인증의 401 오류 해결에 대한 최종 생각

사용자 정의 로그인 페이지로 Spring 기반 애플리케이션을 성공적으로 보호하려면 특히 상태 비저장 세션이나 토큰 기반 접근 방식을 사용하는 경우 신중한 구성이 필요합니다. React 프런트엔드와 통합할 때 보안 구성이 RESTful, 상태 비저장 원칙과 일치하는지 확인하면 세션 문제를 방지하는 데 도움이 될 수 있습니다.

수정부터 보안필터체인 토큰 기반 흐름 구현에 대한 설정을 통해 각 접근 방식은 안정적인 인증 설정을 만드는 역할을 합니다. 세션 관리, 토큰 처리 및 SecurityContext를 이해함으로써 Spring Security 애플리케이션에서 401 Unauthorized 오류를 해결할 수 있는 준비를 갖추게 됩니다. 🔒