Spring Security와 OAuth 2.0을 통한 현대적 인증 및 인가 전략

OAuth 2.0은 널리 사용되는 인증 및 인가 프레임워크로, 사용자가 자신의 정보에 접근할 수 있는 권한을 안전하게 타사에 위임할 수 있게 합니다. Spring Security 5 이상에서는 OAuth 2.0 클라이언트와 리소스 서버 지원을 기본적으로 제공합니다. 이 글에서는 Spring Security를 활용하여 OAuth 2.0 기반의 인증 및 인가 방법을 구현하는 방법에 대해 설명합니다.

OAuth 2.0 인증 흐름

OAuth 2.0은 다양한 인증 흐름을 제공합니다. 가장 일반적으로 사용되는 흐름은 다음과 같습니다:

• Authorization Code Grant: 사용자가 타사 애플리케이션에 자신의 데이터에 접근할 권한을 부여할 때 사용합니다. 이 흐름은 서버 사이드 애플리케이션에 적합합니다.
• Implicit Grant: 클라이언트 사이드 애플리케이션에 적합하며, 브라우저 기반의 앱에서 사용됩니다.
• Resource Owner Password Credentials Grant: 사용자가 신뢰할 수 있는 애플리케이션에 자신의 로그인 정보(사용자 이름 및 비밀번호)를 제공할 때 사용됩니다.
• Client Credentials Grant: 애플리케이션 자체가 인증을 요청할 때 사용됩니다.

Spring Security와 OAuth 2.0 클라이언트 통합

Spring Security를 사용하여 OAuth 2.0 클라이언트를 구성하는 것은 상대적으로 간단합니다. application.yml 또는 application.properties 파일에 OAuth 2.0 클라이언트 설정을 추가해야 합니다.

 

spring:
  security:
    oauth2:
      client:
        registration:
          google:
            clientId: GOOGLE_CLIENT_ID
            clientSecret: GOOGLE_CLIENT_SECRET
            redirectUri: "{baseUrl}/login/oauth2/code/{registrationId}"
            scope: profile, email
            clientName: Google

 

위 설정은 Google을 OAuth 2.0 제공자로 사용하는 예시입니다. 여기서 clientId와 clientSecret은 OAuth 2.0 제공자로부터 받은 값을 사용해야 합니다.

 

반응형

 

OAuth 2.0 리소스 서버 구현

Spring Security를 사용하여 OAuth 2.0 리소스 서버를 구현하려면, 먼저 spring-boot-starter-oauth2-resource-server 의존성을 프로젝트에 추가해야 합니다.

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>

 

그리고 SecurityConfig 클래스에서 리소스 서버의 보안 구성을 정의합니다.

 

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests(authorizeRequests ->
                authorizeRequests
                    .antMatchers("/api/public/**").permitAll()
                    .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2ResourceServer ->
                oauth2ResourceServer
                    .jwt()
            );
    }
}

 

이 설정은 /api/public/** 경로에 대한 요청은 인증 없이 허용하며, 나머지 모든 요청에 대해서는 JWT 기반 인증을 요구합니다.

결론

Spring Security와 OAuth 2.0을 통합하여 사용하면, 복잡한 인증 및 인가 요구사항을 효과적으로 관리할 수 있습니다. OAuth 2.0은 사용자 데이터에 대한 안전한 접근 권한 부여를 가능하게 하며, Spring Security는 이러한 프로세스를 간소화하여 구현할 수 있는 풍부한 기능을 제공합니다. 이를 통해 개발자는 보안이 강화된 애플리케이션을 빠르고 쉽게 구축할 수 있습니다.