Java: 성공적인 Spring 보안 로그인 후 403 오류 해결

접근법 1: Spring Security와 함께 역할 기반 액세스를 사용하여 403 오류 해결

Java, 역할 기반 인증을 통한 Spring 보안

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private final CustomUserDetailsService userDetailsService;
    public SecurityConfig(CustomUserDetailsService userDetailsService) {
        this.userDetailsService = userDetailsService;
    }

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/", "/login", "/register", "/js/", "/css/", "/images/").permitAll()
            .antMatchers("/search").hasAuthority("USER")
            .anyRequest().authenticated()
            .and()
            .formLogin().loginPage("/login").permitAll()
            .and()
            .logout().logoutSuccessUrl("/login?logout").permitAll();
    }

    @Bean
    public DaoAuthenticationProvider authenticationProvider() {
        DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
        authProvider.setUserDetailsService(userDetailsService);
        authProvider.setPasswordEncoder(passwordEncoder());
        return authProvider;
    }
}

접근 방식 2: 사용자 지정 인증 성공 처리기를 추가하여 403 오류 해결

Java, Spring 보안 사용자 정의 인증 핸들러

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private final CustomUserDetailsService userDetailsService;
    public SecurityConfig(CustomUserDetailsService userDetailsService) {
        this.userDetailsService = userDetailsService;
    }

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/", "/login", "/register").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin().loginPage("/login")
            .successHandler(customSuccessHandler())
            .permitAll();
    }

    @Bean
    public AuthenticationSuccessHandler customSuccessHandler() {
        return (request, response, authentication) -> {
            response.sendRedirect("/search");
        };
    }
}

역할 기반 액세스 및 성공 처리기에 대한 단위 테스트

스프링 보안 구성을 위한 JUnit 5 단위 테스트

@SpringBootTest
@AutoConfigureMockMvc
public class SecurityConfigTests {
    @Autowired
    private MockMvc mockMvc;

    @Test
    public void testAccessToSearchPageAsLoggedInUser() throws Exception {
        mockMvc.perform(formLogin().user("testUser").password("password"))
               .andExpect(status().is3xxRedirection())
               .andExpect(redirectedUrl("/search"));
    }

    @Test
    public void testAccessToRestrictedPageAsGuest() throws Exception {
        mockMvc.perform(get("/search"))
               .andExpect(status().is3xxRedirection())
               .andExpect(redirectedUrlPattern("/login"));
    }
}

필수 Spring 보안 질문 및 답변

1. 목적은 무엇입니까? @EnableWebSecurity?
2. 그만큼 @EnableWebSecurity 주석은 Spring Security의 구성을 활성화하여 애플리케이션 엔드포인트를 제어하고 보호하는 것을 가능하게 합니다.
3. 어떻게 authorizeRequests 스프링 시큐리티에서 일하시나요?
4. 그만큼 authorizeRequests 방법은 공개적으로 액세스할 수 있는 엔드포인트와 인증이 필요한 엔드포인트를 지정하여 액세스 제어를 중앙 집중화합니다.
5. 왜? BCryptPasswordEncoder 비밀번호 저장에 권장되나요?
6. BCryptPasswordEncoder 솔트로 비밀번호를 해시하므로 보안이 뛰어나고 무차별 대입 공격에 대한 저항력이 높습니다.
7. 무엇을 successHandler 로그인 구성에서 수행합니까?
8. 그만큼 successHandler 성공적인 로그인 후 어떤 일이 발생하는지 정의합니다. 로그인 후 사용자를 특정 페이지로 리디렉션하는 데 자주 사용됩니다.
9. 어떻게 sessionFixation 사용자 세션을 보호하시겠습니까?
10. 그만큼 sessionFixation 전략은 로그인 후 세션 ID를 재생성하여 악의적인 행위자에 의한 세션 하이재킹 위험을 줄입니다.
11. 로그인 성공 후 403 오류가 나타나는 이유는 무엇입니까?
12. 로그인 후 403 오류는 역할 기반 구성이 부족하여 사용자에게 필요한 권한이 부족함을 의미하는 경우가 많습니다.
13. 역할은 무엇입니까? requestMatchers 보안 구성에 있습니까?
14. requestMatchers 공개 페이지나 정적 자산과 같이 인증 없이 액세스할 수 있는 URL 패턴을 지정할 수 있습니다.
15. Spring Security에서 로그아웃 동작을 어떻게 구성합니까?
16. 스프링 시큐리티에서는 logout 세션을 지우고 로그아웃 후 사용자를 로그인 페이지로 리디렉션하도록 메서드를 사용자 정의할 수 있습니다.
17. 할 수 있다 MockMvc 보안 구성을 테스트하는 데 사용됩니까?
18. 예, MockMvc 테스트에서 HTTP 요청을 시뮬레이션하여 무단 사용자에 대한 리디렉션과 같은 액세스 제어를 확인할 수 있습니다.
19. 역할은 무엇입니까 CustomUserDetailsService 인증에?
20. CustomUserDetailsService 사용자 이름 및 역할과 같은 사용자별 데이터를 로드하여 Spring이 자격 증명 및 액세스 수준을 정확하게 확인할 수 있도록 합니다.

Spring의 사용자 액세스 보안에 대한 최종 생각

로그인 후 403 오류를 처리하는 것은 종종 액세스 제어를 올바르게 구성하는 것으로 요약됩니다. Spring Security를 ​​사용하면 강력한 설정을 통해 인증된 사용자가 볼 수 있는 페이지에만 액세스할 수 있습니다. 권한을 신중하게 설정하면 애플리케이션을 안전하게 보호하는 동시에 원활한 사용자 경험을 제공할 수 있습니다.

사용자 정의 세션 관리를 구현하고, 사용자 세부 정보를 검증하고, 테스트를 실행하면 대부분의 액세스 문제를 자신있게 해결할 수 있습니다. Spring Security 도구를 사용하면 처음 사용하는 경우에도 매우 안전한 앱을 만들 수 있습니다. 이러한 구성을 사용하면 403 오류를 해결할 수 있어 사용자에게 오류 없는 로그인 경험을 보장할 수 있습니다. 🔒