Spring Security : Authentication 사용하기

1. Authentication은 인증 토큰이라고 할 수 있다.

  1-1 인증토큰이라면 인증을 위한 정보를 가진 하나의 단위라고 생각하면 된다.

  1-2 이 토큰은 정보를 담은 객체일 뿐 인증이 된 것일 수도 아닐 수도 있다.

 

2. Controller에서 entity를 저장할 때 유저정보와 연동이 필요한 경우 유용하게 사용할 수 있다.

 

3. 3가지 방식이 있는데

  3-1 Authentication을 주입받아서 사용하기

  3-2 Principal을 주입받아서 사용하기

  3-3 @AuthenticationPrincipal을 사용하기

  3-4 SecurityContext를 SecurityContextHolder에서 받아와서 사용하기

  3-5 아래 소스로 설명한다.

 

// Team Entity
// 예제를 위해 User 속성을 추가하여 팀소유자를 저장하였고,
// 한명의 유저는 Many 많은 팀을 소유하므로 One - Many 관계이다.

@Entity
@Table(name = "team")
@Data
public class Team {

  @Id
  @GeneratedValue(strategy = GenerationType.IDENTITY)
  private Long id;

  @NotBlank
  private String name;

  @Valid
  @Embedded
  private Address address = new Address();

  @Column(name = "created_at")
  @CreationTimestamp
  private Date createdAt;

  @ManyToMany(targetEntity = Player.class)
  private Set<Player> players = new HashSet<>();

  @ManyToOne
  private User user;

  public void addPlayer(Player player) {
    this.players.add(player);
  }
}



// TeamController
package pe.pilseong.footballjpa.controller;

import java.security.Principal;

import javax.validation.Valid;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.annotation.AuthenticationPrincipal;
import org.springframework.stereotype.Controller;
import org.springframework.validation.BindingResult;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.ModelAttribute;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.SessionAttribute;
import org.springframework.web.bind.annotation.SessionAttributes;
import org.springframework.web.bind.support.SessionStatus;

import lombok.extern.slf4j.Slf4j;
import pe.pilseong.footballjpa.model.Team;
import pe.pilseong.footballjpa.model.User;
import pe.pilseong.footballjpa.repository.TeamRepository;

@Slf4j
@Controller
@RequestMapping("/teams")
@SessionAttributes({"team"})
public class TeamController {

  @Autowired
  private TeamRepository teamRepository;

  @GetMapping
  public String showTeamSetup(@SessionAttribute(required = false) Team team) {
    log.info("showTeamSetup at first in TeamController");

    if (team == null || team.getPlayers().size() == 0) {
      return "redirect:/players";
    }

    log.info("showTeamSetup at exit in TeamController");
    return "team-creation";
  }

  @PostMapping
  public String processTeamSetup(@Valid @ModelAttribute Team team, BindingResult errors, 
    SessionStatus status, 
    @AuthenticationPrincipal User user, 
    Authentication authentication, 
    Principal principal) {
      
    log.info("User :: " + user.toString() + "\n");
    log.info("authentication :: " + authentication.toString() + "\n");
    log.info("principal :: " + principal.toString() + "\n");


    if (errors.hasErrors()) {
      return "team-creation";
    }

    if (!status.isComplete()) {     
      team.setUser(user);
      this.teamRepository.save(team);
      log.info("processTeamSetup in TeamController :: " + team.toString() + "\n");
  
      status.setComplete();
      log.info("after setComplete() processTeamSetup in TeamController \n");
  
    }
    
    return "redirect:/";

  }
}

 

4. 사실 위에서 언급한 3-1, 3-2, 3-3의 방법은 동일하다. 어떤 객체를 받아오는지에 따라 달라질 뿐이다.

  4-0 세 가지 방식 모두 @Controller의 handler에서만 사용가능하다.

  4-1 각 클래스의 차이는 아래 링크의 2-1항목을 참고한다.

    4-1-1 @AuthenticationPrincipal의 경우는 User를 받기 때문에 casting이 필요없지만,

    4-1-2 나머지의 경우는 Authentication에서 getPrincipal()로 Principal을 받아와 User로 casting이 필요하다.

 

 

Spring Security : 스프링 보안의 구조 - 1 인증

 

 

5. 3-4의 SecurityContextHolder 방식은 프로그램 어디에서나 접근가능한 방식이다.

  5-1 아래 링크의 포스트에서도 동일한 방식을 사용하였다. 4-2-3-2 항목을 참고한다.

 

 

Spring Boot : Rest + Security + Thymeleaf 로그인, 회원가입 기능이 포함된 Rest Template CRUD 클라이언트 작성�

 

  5-2 아래 코드를 그대로 가져온다면 아래처럼 쓸 수 있다.

    5-2-1 컴포넌트 형식으로 만들어 사용하면 다음처럼 할 수 있다.

 

// 인터페이스

package pe.pilseong.footballjpa.security;

import org.springframework.security.core.Authentication;

public interface AuthenticationFacade {
  Authentication getAuthentication();
}


// 구현 클래스
package pe.pilseong.footballjpa.security;

import org.springframework.security.core.Authentication;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.stereotype.Component;

@Component
public class AuthenticationFacadeImpl implements AuthenticationFacade {

  @Override
  public Authentication getAuthentication() {
    return SecurityContextHolder.getContext().getAuthentication();
  }
  
}

 

    5-2-2 위의 컴포넌트 사용하기

      5-2-2-1 @Autowired로 받아와서 어디서든 사용가능하다.

 

package pe.pilseong.footballjpa.controller;

import java.security.Principal;

import javax.validation.Valid;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.annotation.AuthenticationPrincipal;
import org.springframework.stereotype.Controller;
import org.springframework.validation.BindingResult;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.ModelAttribute;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.SessionAttribute;
import org.springframework.web.bind.annotation.SessionAttributes;
import org.springframework.web.bind.support.SessionStatus;

import lombok.extern.slf4j.Slf4j;
import pe.pilseong.footballjpa.model.Team;
import pe.pilseong.footballjpa.model.User;
import pe.pilseong.footballjpa.repository.TeamRepository;
import pe.pilseong.footballjpa.security.AuthenticationFacade;

@Slf4j
@Controller
@RequestMapping("/teams")
@SessionAttributes({"team"})
public class TeamController {

  @Autowired
  private AuthenticationFacade auth;

  @Autowired
  private TeamRepository teamRepository;

  @GetMapping
  public String showTeamSetup(@SessionAttribute(required = false) Team team) {
    log.info("showTeamSetup at first in TeamController");

    if (team == null || team.getPlayers().size() == 0) {
      return "redirect:/players";
    }

    log.info("showTeamSetup at exit in TeamController");
    return "team-creation";
  }

  @PostMapping
  public String processTeamSetup(@Valid @ModelAttribute Team team, BindingResult errors, 
    SessionStatus status, @AuthenticationPrincipal User user, Authentication authentication, Principal principal) {
      
    log.info("User :: " + user.toString() + "\n");
    log.info("authentication :: " + authentication.toString() + "\n");
    log.info("principal :: " + principal.toString() + "\n");
    
    log.info("authentication from SecurityContext :: "  +  auth.getAuthentication() + "\n");


    if (errors.hasErrors()) {
      return "team-creation";
    }

    if (!status.isComplete()) {     
      team.setUser(user);
      this.teamRepository.save(team);
      log.info("processTeamSetup in TeamController :: " + team.toString() + "\n");
  
      status.setComplete();
      log.info("after setComplete() processTeamSetup in TeamController \n");
  
    }
    
    return "redirect:/";

  }
}

 

    5-2-3 이런 게 다 귀찮으면 그냥 아래처럼 SecurityContextHolder로 바로 접근해도 된다.

 

  @PostMapping
  public String processTeamSetup(@Valid @ModelAttribute Team team, BindingResult errors, 
    SessionStatus status, @AuthenticationPrincipal User user, Authentication authentication, Principal principal) {
      
    log.info("User :: " + user.toString() + "\n");
    log.info("authentication :: " + authentication.toString() + "\n");
    log.info("principal :: " + principal.toString() + "\n");

    log.info("authentication from SecurityContext :: " + SecurityContextHolder.getContext().getAuthentication());


    if (errors.hasErrors()) {
      return "team-creation";
    }

    if (!status.isComplete()) {     
      team.setUser(user);
      this.teamRepository.save(team);
      log.info("processTeamSetup in TeamController :: " + team.toString() + "\n");
  
      status.setComplete();
      log.info("after setComplete() processTeamSetup in TeamController \n");
  
    }
    
    return "redirect:/";

  }