1.GOOGLE API 토큰 발급받기

1. 구글 클라우드로 접속해 토큰 발급 신청
   • https://cloud.google.com/ 접속
     
     
     
     

2. 콘솔 클릭 ※구글 콘솔 동의 여부 확인창이 나오면 동의 해주고 넘어간다※
   
   
   
   

3. 새로운 프로젝트 생성
   
   
   
   

4. 신규로 만든 프로젝트를 선택해 신규 프로젝트로 이동
5. 좌측 햄버거 메뉴에서 API 및 서비스 -> 사용자 인증 정보 버튼 클릭
   1. API 및 서비스가 안보인 다면 솔루션 -> 모든 제품 보기 클릭
6. 좌측 메뉴에서 OAuth 동의 화면 클릭
7. User Type을 외부로 선택하고 만들기 클릭
8. 앱 정보를 등록하고 저장
9. 범위 추가 또는 삭제를 이용하여 공개 범위 지정 후 업데이트
   1. 예제에서는 이메일과 openid 2가지선택하면 됨
   2. 
   3. 저장
10. 테스트 사용자 지정은 하지않고 바로 넘어감
11. 데쉬보드로 돌아가기 클릭
12. 좌측 메뉴에서 “사용자 인증 정보” 클릭
13. 상단의 사용자 인증 정보 만들기 > OAuth 클라이언트 ID 클릭
14. 애플리케이션 유형 선택 => 웹 애플리케이션
15. 이름 => 프로젝트 도메인 네임
16. 승인된 리디렉션 URI 입력 => http://localhost:8080/login/oauth2/code/google
17. 만들기 클릭
    
    
    
    
    
    
    

    JAVA Source Code 수정

    
    
    
    
    

    application.yml 파일에 아래 내용 추가

    spring:
    cecurity:
        oauth2:
            client:
                registration:
                    google:
                        client-id: <클라이언트ID 발급시 나온 클라이언트 ID>
                        client-secret: <클라이언트 보안 비밀번호>
                        scope:
                            - email
                            - profile
    

    ** 인증키는 외부에 공유되지 않도록 주의!!! **

1. OAuth2 의존성 추가를 위해 Build.gradle 수정

   dependencies {
   ...생량...
    // OAuth2를 사용하기 위한 스타터 추가
    implementation 'org.springframework.boot:spring-boot-starter-oauth2-client'
   }
   

2. 쿠리 관리 클래스 구현하기
3. util 패키지를 새로 만들고 CokkieUtil.java 파일을 생성
4. config 패키지에 oauth 패키지를 만들고 OAuth2UserCustomService.java 파일 생성
5. WebSecurityConfig.java 파일 삭제 ※해당 파일은 기존의 로그인_예제_실습 포스팅을 보시고 따라했으면 파일 삭제 필요함※
6. config > oauth 패키지 안에 OAuth2AuthorizationRequestBasedOnCookieRepository.java 파일 생성
7. config > oauth 패키지 안에 OAuth2SuccessHandler.java 파일 생성
8. 버튼 이미지 다운로드 링크로 접속하여 구글 로그인 버튼 이미지 파일 다운로드
9. 파일 안에 png파일 중 마음에 드는 디자인을 선택해 /resources/static/img 디렉터리에 복사하기
   1. 복사 후에 파일명을 google.png로 변경
10. templates 디렉터리에 oauthLogin.html 생성
11. resources/static/js 디렉터리에 token.js 파일 생성

OAuth란?

제 3의 서비스에 계정 관리를 맡기는 방식을 말한다. 우리가 자주 사용하는 네이버 로그인, 카카오 로그인, 구글 로그인 등을 이용하여 로그인 하는 방식을 말한다.

관련용어

리소스 오너 (Resource Owner) 인증 서버에 자신의 정보를 사용하도록 허가하는 주체. 서비스를 이용하는 사용자가 해당 됨

리소스 서버 (Resource Server) 리소스 오너의 정보를 가지며, 리소스 오너의 정보를 보호하는 주체. 네이버, 구글, 페이스북이 해당 됨

인증 서버 (Authorization Server) 사용자에게 리소스 오너의 정보에 접근할 수 있는 토큰을 발급하는 역할을 하는 애플리케이션을 의미함

클라이언트 애플리케이션 (Client Application) 인증 서버에게 인증을 받고 리소스 오너의 리소스를 사용하는 주체. 개발자가 만들고 잇는 서비스에 해당 됨

리소스 오너 정보를 취득하는 방법 4가지

1. 권한 부여 코드 승인 타입

Authorization Code Grant type
OAuth 2.0에서 가장 잘 알려진 인증 방법이다. 클라이언트가 리소스에 접근하는 데 사용하며, 권한에 접근할 수 있는 코드와 리소스오너에 대한 액세스 토큰을 발급받는 방식이다.

2. 암시적 승인 타입

Implicit Grant Type
서버가 없는 자바스크립트 웹 애플리케이션 클라이언트에서 주로 사용하는 방법이다. 클라이언트가 요청을 보내면 리소스오너의 인증 과정 이외에는 권한 코드 교환 등의 별다른 인증 과정을 거치지 않고 액세스 토큰을 제공 받는 방식이다.

3. 리소스 소유자 암호 자격증명 승인 타입

Resource Owner Password Credentials
클라이언트의 패스워드를 이용해서 액세스 토큰에 대한 사용자의 자격 증명을 교환하는 방식이다.

4. 클라이언트 자격증명 승인 타입

Client Credentials Grant
클라이언트가 컨텍스트 외부에서 액세스 토큰을 얻어 특정 리소스에 접근을 요청할 때 사용하는 방식이다.

권한 부여 코드 승인 타입

Oauth 2.0에서 가장 잘 알려진 인증 방식인 권한 부여 코드 승인 타입을 살펴볼 예정이다!

동작 방법

스프링 부트 서버가 권한 서버로 보내는 요청

``` API Request GET https://권한서버uri/authorize? client_id=3r3f323& redirect_uri=https://localhost/myapp& response_type=code& scope=profile

- client_id
	인증 서버가 클라이언트에 할당한 고유 식별자.
	OAuth 서비스에 등록할 때 서비스에서 생성하는 값
- redirect_uri
	로그인 성공 시 이동해야 하는 URI
- response_type
	클라이언트가 제공받길 원하는 응답 타입
	인증 코드를 받을 때는 code 값을 포함해야 한다
- scope
	제공받고자 하는 리소스 오너의 정보 목록


#### 추가 설명
**데이터 접근용 권한 부여 **
- 인증 서버에 요청을 처음 보내는 경우 사용자에게 보이는 페이지를 로그인 페이지로 변경하고 사용자의 데이터에 접근 동의를 얻는다.
- 최초 1회만 진행되며 이후에는 인증 서버에서 동의 내용을 정하고 있기 때문에 로그인만 진행함.
- 로그인이 성공되면 권한 부여 서버는 데이터에 접근할 수 있게 인증 및 권한 부여를 수신함.

**인증 코드 제공**
- 사용자가 로그인에 성공하면 권한 요청 시에 파라미터로 보낸 redirect_uri로 리다이렉션되며 이때 파라미터에 인증 코드를 함께 전달 받을 수 있음
	> **EX)**
	 GET : http://localhost:8080/myapp?code=ekw9fk3290wl1 

**액세스 토큰 응답이란?**
- 인증 코드를 받으면 액세스 토큰으로 교환해야 하는데 액세스 토큰은 로그인 세션에 대한 보안 자격을 증명하는 식별 코드를 의미한다.
- 대체로 POST로 요청을 보냄
``` API Request
POST https://권한서버uri/token?
	{
		"client_id" : "3r3f323",
		"client_secret": "aabb11dd44",
		"redirect_uri" : "https://localhost/myapp",
		"grant_type" : "authorization_code",
		"code" : "a23dn231d3i312"
	}

“client_secret” = OAuth 서비스에 등록할 때 제공받는 비밀키 “grant_type” = 권한 유형을 확인하는 데 사용함

액세스 토큰 응답 값 예시

{
	"access_token" : "ffddeep",
	"token_type" : "Bearer",
	"expires_in" : 3600,
	"scope" : "openid profile"
	...생략...
}

액세스 토큰으로 API 응답 & 반환 요청을 통해 response로 제공받은 액세스 토큰으로 리소스 오너의 정보를 가져올 수 있다. 정보가 필요할 때마다 API 호출을 통해 정보를 가져오고 리소스 서버는 토큰이 유효한지 검사한 뒤에 응답한다.

리소스 오너의 정보를 가져오는 요청 예시

``` API Request GET https://권한서버uri/userinfo

header : Authorization: Bearer ffddeep

```

참고

• 스프링 부트 3 백앤드 개발자 되기 : 자바 편 (2판)

Git Repository

https://github.com/M2316/jap-and-oauth-example.git —

로그인 기능 만드는 순서

1. domain 패키지에 User Entity 생성 [User.java]
2. repository 패키지에 User Repository 생성 [UserRepository.java]
   1. findByEmail 메서드 추가
3. service 패키지에 UserDetail Service 생성 [userDetailService.java]
   1. Security의 UserDetailService 인터페이스를 상속받기
4. Config 패키지에 WebSecurityConfig 생성 [WebSecurityConfig.java]

회원가입 기능 만드는 순서

1. dto 패키지에 AddUserRequest 생성 [AddUserRequest.java]
2. service 패키지에 UserService 생성 [UserService.java]
   1. save 메서드 정의
3. controller 패키지에 UserApiController 생성 [UserApiController.java]
   1. PostMapping signup메서드 추가
4. controller 패키지에 UserViewController 생성 [UserViewController.java]
   1. GetMapping login메서드 구성
   2. GetMapping signup메서드 구성
5. templates 디렉터리에 login.html, signup.html 파일을 생성

로그아웃 기능 만드는 순서

1. controller 패키지의 UserApiController 에서 logout메서드 추가하기
2. 삭 페이지에 로그아웃 요청을 보낼 수 있는 버튼을 만들기
   1. “/logout” 으로 get요청이 보내지면 됨

의존성 추가

dependencies {
	...생략...
	
	// 자바 JWT 라이브러리  
	implementation 'io.jsonwebtoken:jjwt:0.9.1'
	
	// XML 문서와 Java 객체 간 매핑 자동화
	implementation 'javax.xml.bind:jaxb-api:2.3.1' 
	
}

application.yml 파일에 발급자, 비밀키 값 넣기

...생략...
jwt:
	issuer: myDomainName.com/projectName // http://도메인주소/프로젝트명
	secret_key: key-is-secret-code
...생략...

1. config.jwt 패키지안에 JwtProperties.java 파일 생성
2. 같은 패키지 안에 TokenProvider.java 파일 생성
3. JWT 테스트 코드 작성
   1. test 디렉터리에 config.jwt 패키지를 생성하고 JwtFactory.java 파일 생성
      • 이 파일은 JWT 토큰 서비스를 테스트하는 데 사용할 모킹(mocking)용 객체
      • 테스트를 실행할 때 객체를 대신하는 가짜 객체임…
   2. 같은 패키지에 TokenProviderTest.java 파일 생성
4. 리프레시 토큰 구현
   1. domain 패키지에 RefreshToken.java 생성
   2. repository 패키지에 RefreshTokenRepository.java 생성
   3. config.jwt 패키지에 TokenAuthenticationFilter.java 생성
      • 액세스 토큰값이 담긴 Authorization 헤더값을 가져온 뒤 액세스 토큰이 유요하다면 인증 정보를 설정하는 필터
   4. UserService.java파일을 열어 수정
      1. public User findById(Long userId) 메서드 추가
   5. service 패키지에 RefreshTokenService.java 파일 생성
   6. service 패키지에 TokenService.java 파일 생성
   7. dto 패키지에 CreateAccessTokenRequest 생성
   8. dto 패키지에 CreateAccessTokenResponse 생성
   9. controller 패키지에 TokenApiContreoller.java 생성
   10. 리프레시 토큰 테스트 코드 작성
       1. test 디렉토리로 가서 controller 패키지 안에 TokenApiControllerTest.java 생성

서버에서 올바른 사용자 인지를 식별하는 방법은 크게 두가지로 나눌 수 있다.
서버 기반 인증과 토큰 기반 인증으로 나눌 수 있으며 Spring Security는 Session기반의 인증을 제공해 준다. 이 포스팅에서는 토큰 기반 인증방식을 JWT를 이용하여 설명해 보겠다.

동작 원리

1. 사용자는 서버로 ID, Password 등 사용자를 식별할 수 있는 값들을 서버로 보냄
2. 서버는 사용자가 보내온 값들을 서버에 저장되어 있는 값들과 비교하여 올바른 요청이 맞는지 판단
3. 올바른 요청이 맞다 면 사용자에게 인가 되었다는 정보가 담긴 JWT토큰을 발행해 사용자에게 보냄
4. 사용자는 인가 된 정보가 담긴 JWT 토큰을 받아 두었다가 서버에 요청을 보낼 때 마다 토큰을 같이 보냄
5. 서버는 사용자가 보내온 요청과 함께 토큰을 검증하여 토큰에 유효성 검사가 통과되면 사용자의 요청을 수행함

사진 참고

특징

1. 무상태성
   • 사용자의 인증 정보가 담겨 있는 토큰이 서버가 아닌 클라이언트에 있으므로 서버에 저장할 필요가 없다.
   • 서버에 요청을 보낼 수 있는 사용자 명단을 서버가 관리하지 않아 서버 리소스를 아낄 수 있다.
   • 사용자의 인증 상태를 유지하면서 이후 요청을 처리하는 것을 상태 관리라고 하는데 토큰을 이용하면 서버에서 상태 관리를 하지 않게 되어 무상태성이 된다.
2. 확장성
   • 서버를 증설하거나 다른 서버의 서비스랑 연계해야 할 때 각각의 서버마다 상태 연동이 필요하지 않아 확장에도 용이하다.
3. 무결성
   • 토큰 방식은 HMAC(hash-dased message authentication) 기법이라고도 부르는데 이는 토큰 발급 이후에는 토큰 정보를 변경하지 못한다는 것을 의미한다.
   • 토큰이 발행된 이후에 수정할 수 없기 때문에 무결성이 보장된다.

JWT( Json Web Token)

토큰 기반의 인증을 수행하기 위해서는 사용자에게 여러 방법으로 토큰을 보내줄 수 있다. 토큰을 쿠키에 담아 전송도 가능하며 HTTP 요청 헤더 중에 Authorization의 키 값으로 사용자에게 전달하는 등의 방법들이 있다.

여기서는 HTTP 요청 헤더에 Authorization의 키 값을 이용하는 방법으로 설명할 것이다.

JWT 사용 예시

• HTTP 요청 헤더에 Authorization의 키 값을 입력할 때 “bearer” + “JWT 토큰값”을 넣어 보내야 한다.

객체 상태 예시

// Request Headers
{
	...생략...
	Authorization:"bearer 헤더.내용.서명"
}

JWT 구조

JWT는 헤더(header).내용(payload).서명(signature) 구조를 갖는다.

1. 헤더(header)
   • 헤더에는 토큰 타입과 해싱 알고리즘을 지정하는 정보를 담고 있다.
2. 페이로드(payload) = 내용
   • 페이로드에는 토큰과 관련된 정보를 담는다.
   • 내용의 한 덩어리를 클레임이라고 부른다.
   • 클레임은 키값의 한 쌍을 이룬다.
   • 클레임은 등록된 클레임, 공개 클레임, 비공개 클레임으로 나눌 수 있다.
   • 등록된 클레임 : 토큰에 대한 정보를 담는 데 사용한다.
   • 공개 클레임 :
     • 공개되어도 상관없는 크레임을 의미한다.
     • 충돌을 방지할 수 있는 이름을 가져야 한다.
     • 보통 클레임 이름을 URI로 짓는다.
   • 비공개 클레임 :
     • 공개되면 안 되는 클레임을 의미한다.
     • 클라이언트와 서버 간의 통신에 사용된다.

         {
         "iss" : "email@naver.com", //등록된 클레임
         "iat" : 1234238402, //등록된 클레임
         "exp" : 123124235235, //등록된 클레임
         //공개 클레임
         "https://mydomainaddress.com/jwt_claims/is_admin": true,
         "email" : "email@naver.com", //비공개 클레임
         "hello" : "안녕하세요!" //비공개 클레임
         }
       

   • iss, iat, exp는 JWT 자체에서 등록된 클레임이다.
   • 이 외의 등록된 클레임도, 공개 클레임도 아닌 클레임들은 비공개 클레임이다.
3. 시그니처(signature) = 서명
   • 서명은 해당 토큰이 조작되었거나 변경되지 않았음을 확인하는 용도로 사용함.
   • 헤더의 인코딩 값과 내용의 인코딩값을 합친 후에 주어진 비밀키를 사용해 해시값을 생성한다.

리프레시 토큰

토큰에는 유효 기간이 존재한다.

리프레시 토큰이 필요한 이유

토큰은 서버에서 관리되는 것이 아니기 때문에 토큰이 탈취되면 탈취된 토큰을 무력화 시키는 것은 매우 어려운 일이다. 토큰 기반의 인증은 이러한 문제점들을 해결하고자 유효 기간이라는 것을 명시하여 유효 기간이 지나면 토큰이 폐기될 수 있도록 하였다. 유효 기간이 너무 길면 탈취당한 토큰이 오래 살아있게 되어 보안에 취약해지고 너무 짧은 유효기간을 설정하면 그만큼 많은 양의 토큰을 다시 발행해야 하기 때문에 사용자들은 짧은 시간마다 로그인을 다시 요청하게 되는 번거로움이 발생 된다. 위 문제를 해결하기 위해 리프레시 토큰이란 것이 존재한다.

동작순서

들어가기 전

이 글은 로그인 예제 프로젝트를 진행하면서 핵심적인 부분들, 예제에서 알려준 로직에 대해 메모한 글이다.
로그인 로직에 대해서 지식이 이미 있다면 이 글은 추천하지 않는다.

로그인 기능 청사진

스프링 시큐리티

Spring 애플리케이션의 보안(인증, 인가, 권한)을 담당하는 Spring 하위 프레임워크이다.
Spring Security를 사용하면 인증과 인가에 대한 관리 기능을 쉽게 구현할 수 있다.

특징

• Spring Security는 Spring 애플리케이션의 보안 프레임워크
• 애너테이션 설정이 매우 간편함
• CSRF,session flxtion 공격을 방어해줌

  session flxtion은 세션에 들어있는 사용자의 인증 정보를 탈취하거나 변조하는 공격을 말함

• 요청 헤더를 보안처리 해줌

  
  

Spring Security Filter Chain 구조

위 사진을 보면서 원하는 위치에 Custom Filter를 만들어 원하는 위치에 Filter Chain을 연결해줄 수 있다

| 필터명 | 설명 | |———-|———-| | SecurityContextPersistenceFilter | SecurityContextRepository에서 SecurityContext(접근 주체와 인증에 대한 정보를 담고 있는 객체)를 가져오거나 저장하는 역할을 합니다 | | Logoutfilter | 설정된 로그아웃 URL로 오는 요청을 확인해 해당 사용자를 로그아웃 처리합니다 | | UsernamePasswordAuthenticationFilter | 인증 관리자입니다. 폼 기반 로그인을 할 때 사용되는 필터로 아이디, 패스워드 데이터를 파싱해 인증 요청을 위임합니다.
인증이 성공하면 AuthenticationSuccessHandler를
인증에 실패하면 AuthenticationFailureHandler를
실행합니다 | | DefaultLoginPageGeneratingFilter | 사용자가 로그인 페이지를 다로 지정하지 않았을 때 기본으로 설정하는 로그인 페이지 관련 필터입니다. | | BasicAuthenticationFilter | 요청 헤더에 있는 아이디와 패스워드를 파싱해서 인증 요청을 위임합니다.
인증이 성공하면 AuthenticationSuccessHandler를
인증에 실패하면 AuthenticationFailureHandler를
실행합니다 | | RequestCacheAwareFilter | 로그인 성공 후, 관련 있는 캐시 요청이 있는지 확인하고 캐시 요청을 처리해줍니다. 예를 들어 로그인하지 않은 상태로 방문했던 페이지를 기억해두었다가 로그인 이후에 그 페이지로 이동 시켜줍니다. | | SecurityContextHoldlerAwareRequestFilter | HttpServletRequest 정보를 감쌉니다. 필터 체인 상의 다음 필터들에게 부가 정보를 제공하기 위해 사용합니다. | | AnonymousAuthenticationFilter | 필터가 호출되는 시점까지 인증되지 않았다면 익명 사용자 전용 객체인 AnonymousAuthentication을 만들어 SecurityContext에 넣어줍니다. | | SessionManagementFilter | 인증된 사용자와 관련된 세션 관련 작업을 진행합니다. 세션 변조 방지 전략을 설정하고, 유효하지 않은 세션에 대한 처리를 하고, 세션 생성 전략을 세우는 등의 작업을 처리합니다. | | ExceptionTranslationFilter | 요청을 처리하는 중에 발생할 수 있는 예외를 위임하거나 전달합니다. | | FilterSecurityInterceptor | 접근 결정 관리자입니다. AccessDecisionManager로 권한 부여 처리를 위임함으로써 접근 제어 결정을 쉽게 해줍니다. 이 과정에서는 이미 사용자가 인증되어 있으므로 유효한 사용자인지도. 즉, 인가 관련 설정을 할 수 있습니다. | —-

체크하고 넘어갈 Security Filter 동작

1. UsernamePasswordAuthenticationFilter
   • ID와 PASSWORD가 로그인 요청과 같이 넘어오면 인증 요청을 위임하는 인증 관리자 역할을 한다.
2. FilterSecurityInterceptor
   • 권한 부여 처리를 위임해 접근 제어 결정을 쉽게 하는 접근 결정 관리자 역할을 한다.
3. 사용자가 폼 기반의 로그인 요청을 보냈을 때 Security의 동작
   1. 사용자가 폼에 아이디와 패스워드를 입력하면 HTTPServletRequest에 아이디와 비밀번호 정보가 전달된다.
   2. 유효성 검사가 끝나면 실제 구현체인 UsernamePasswordAuthenticationToken을 만들어 넘겨줌
   3. 전달받은 인증용 객체인 UsernamePasswordAuthenticationToken을 AuthenticationManager에게 보냄.
   4. UsernamePasswordAuthenticationToken을 AuthenticationProcider에 보냄
   5. 사용자 아이디를 UserDetailService에 보냄
      1. UserDetailService는 사용자 아이디로 찾은 사용자의 정보를 UserDetails 객체로 만들어 AuthenticationProvider에게 전달 함
   6. DB에 있는 사용자 정보를 가져옵니다.
   7. 입력 정보와 UserDetails의 정보를 비교해 실제 인증 처리를 합니다.
   8. 인증이 완료되면 SecurityContextHolder에 Authentication을 저장하고 인증 성공 여부에 따라 성공하면 AuthenticationSuccessHandler를 실패하면 AuthenticationFailureHandler를 실행합니다.