[Security] JWT 구현 (4) - JWT 필터 & JWT 핸들러 구현

이번에는 인증 시점에 자동으로 호출될 수 있는 JWT 필터를 구현해보고, JWT 필터를 통과하지 못한 경우 (권한 미달, 토큰 Validate 실패) 처리하는 JWT 핸들러를 구현해봅시다.

 

🚩JwtFilter 필터 구현 extends GenericFilterBean

@Slf4j
public class JwtFilter extends GenericFilterBean {

    public static final String AUTHORIZATION_HEADER = "Authorization";
    
    private TokenProvider tokenProvider;
    
    public JwtFilter(TokenProvider tokenProvider) {
        this.tokenProvider = tokenProvider;
    }


    // 토큰의 인증정보 SecurityContext에 저장
    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest httpServletRequest = (HttpServletRequest) servletRequest;
        String jwt = resolveToken(httpServletRequest);
        String requestURI = httpServletRequest.getRequestURI();

        if (StringUtils.hasText(jwt) && tokenProvider.validateToken(jwt)) {
            Authentication authentication = tokenProvider.getAuthentication(jwt);
            SecurityContextHolder.getContext().setAuthentication(authentication);
            log.debug("Security Context에 '{}' 인증 정보를 저장했습니다, uri: {}", authentication.getName(), requestURI);
        } else {
            log.debug("유효한 JWT 토큰이 없습니다, uri: {}", requestURI);
        }

        filterChain.doFilter(servletRequest, servletResponse);
    }

    private String resolveToken(HttpServletRequest request) {
        String bearerToken = request.getHeader(AUTHORIZATION_HEADER);

        if (StringUtils.hasText(bearerToken) && bearerToken.startsWith("Bearer ")) {
            return bearerToken.substring(7);
        }

        return null;
    }
}

• GenericFilterBean은 Spring Security와 함께 많이 사용되며, 사용자 인증, 권한 부여, 로깅 등과 같은 공통된 작업을 처리하는 데 유용하게 사용됩니다.
• 따라서 UsernamePasswordAuthenticationFilter는 주로 Spring Security에서 사용자 인증에 특화된 목적으로 사용되는 반면, GenericFilterBean은 Spring Framework에서 일반적인 필터링 작업을 수행하고자 할 때 사용됩니다. GenericFilterBean은 다양한 필터링 작업을 구현할 수 있는 유연성을 제공하며, Spring의 다른 기능과 통합하여 사용할 수 있습니다.

 

JwtFilter - doFilter()

// 토큰의 인증정보 SecurityContext에 저장
@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
    HttpServletRequest httpServletRequest = (HttpServletRequest) servletRequest;
    String jwt = resolveToken(httpServletRequest); // 0
    String requestURI = httpServletRequest.getRequestURI();
	
    if (StringUtils.hasText(jwt) && tokenProvider.validateToken(jwt)) 
        Authentication authentication = tokenProvider.getAuthentication(jwt); // 1
        SecurityContextHolder.getContext().setAuthentication(authentication); // 2
        log.debug("Security Context에 '{}' 인증 정보를 저장했습니다, uri: {}", authentication.getName(), requestURI);
    } else {
        log.debug("유효한 JWT 토큰이 없습니다, uri: {}", requestURI);
    }

    filterChain.doFilter(servletRequest, servletResponse); // 3
}

 

resolveToken method

private String resolveToken(HttpServletRequest request) {
    String bearerToken = request.getHeader(AUTHORIZATION_HEADER);

    if (StringUtils.hasText(bearerToken) && bearerToken.startsWith("Bearer ")) {
        return bearerToken.substring(7);
    }

    return null;
}

0) resolveToken메소드를 통해 request로부터 Authorizaiton 헤더 정보를 꺼내와 베리어를 해제하고 리턴합니다.

 

1) 요청 정보에 토큰이 있고 이 전 포스팅에서 생성한 TokenProvider로 토큰 검증에 통과하면 토큰으로부터 Authentication 객체를 만듭니다.

 

2) Authentication 객체를 Security Context에 담습니다. ( for Authentication & Authorization )

 

3) 다음 필터로 넘어갑니다.

 

🚩이 필터는 이렇게 동작합니다!

인증 or 인가가 필요한 요청 

➡️ JwtFilter에서 요청 인터셉트

➡️ 요청 헤더 정보에서 토큰을 꺼내와 TokenProvider로 토큰 검증

➡️ 검증 통과 시 Authentication 객체 생성

➡️ Session영역의 SecurityContext에 Authentication 객체를 담고 필터 통과 

 

 

이제, JWT 필터 구현에 이어 인증, 인가에 실패하여 예외가 발생한 경우 이 예외를 처리하는 핸들러를 만들어 봅시다.

 

🚩 AuthenticationEntryPoint 구현 : 인증 실패 처리 핸들러

AuthenticationEntryPoint는 인증 처리 과정에서 예외가 발생하는 경우 예외를 처리해주는 핸들러입니다.

@Component
public class JwtAuthenticationEntryPoint implements AuthenticationEntryPoint {
    
    @Override
    public void commence(HttpServletRequest request,
                         HttpServletResponse response,
                         AuthenticationException authException) throws IOException {
        // 유효한 자격증명을 제공하지 않고 접근하려 할때 401
        response.sendError(HttpServletResponse.SC_UNAUTHORIZED);
    }
}

• 인증에 실패하였을 경우 401 응답을 리턴할수 있도록 EntryPoint를 구현합니다.

 

🚩 AccessDeniedHandler 구현 : 권한 미달 처리 핸들러

AccessDeniedHandler는 인가 처리 과정에서 에외가 발생하는 경우 처리해주는 핸들러입니다.

@Component
public class JwtAccessDeniedHandler implements AccessDeniedHandler {
    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException accessDeniedException) throws IOException {
        //필요한 권한이 없이 접근하려 할때 403
        response.sendError(HttpServletResponse.SC_FORBIDDEN);
    }
}

• 필요한 권한이 없는 경우 403 응답을 반환하는 핸들러를 구현합니다.

 

🚩JwtFilter & Handler 등록

JwtFilter ➡️ JwtSecurityConfig 등록 

JwtSecurityConfig 생성 및 등록

public class JwtSecurityConfig extends SecurityConfigurerAdapter<DefaultSecurityFilterChain, HttpSecurity> {
    private TokenProvider tokenProvider;
    public JwtSecurityConfig(TokenProvider tokenProvider) {
        this.tokenProvider = tokenProvider;
    }

    @Override
    public void configure(HttpSecurity http) {
        http.addFilterBefore(
                new JwtFilter(tokenProvider),
                UsernamePasswordAuthenticationFilter.class
        );
    }
}

• 기존의 로그인 시점에서 호출되던 UsernamePasswordAuthenticationFilter를 JwtFilter로 Override 해줍니다.
• addFilterBefore() : 스프링 시큐리티 필터링에 등록해주어야 하기 때문에 addFilterBefore에 등록해줍니다.

 

JwtSecurityConfig & AuthenticationEndPoint & AccessDeniedHandler ➡️ SecurityConfig 등록

@Configuration
@EnableWebSecurity
@EnableMethodSecurity
@RequiredArgsConstructor
public class SecurityConfig {

    private final TokenProvider tokenProvider;
    private final JwtAuthenticationEntryPoint jwtAuthenticationEntryPoint;
    private final JwtAccessDeniedHandler jwtAccessDeniedHandler;

    @Bean
    public BCryptPasswordEncoder bCryptPasswordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.   // 토큰 사용하는 방식이므로 csrf disable
                csrf().disable()

                .exceptionHandling()  // 예외 처리 핸들러 등록 
                .authenticationEntryPoint(jwtAuthenticationEntryPoint)
                .accessDeniedHandler(jwtAccessDeniedHandler)

                .and()
                .headers()
                .frameOptions()
                .sameOrigin()

                // 세션 사용하지 않기 위해 stateless로 설정
                .and()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)

                .and()
                .authorizeRequests()
                .antMatchers("/api/hello").permitAll()
                .antMatchers("/api/authenticate").permitAll() // 로그인
                .antMatchers("/api/signup").permitAll() // 회원가입
                .anyRequest().authenticated()

                .and()
                .apply(new JwtSecurityConfig(tokenProvider)); // JWT 필터 등록

        return http.build();
    }
}

 

 

<참고자료>
본 포스팅은 정은구님의 Spring Boot JWT Tutorial 강의를 참고하여 작성하였습니다.

[무료] Spring Boot JWT Tutorial - 인프런 | 강의