Java API 개발에서 보안 제어를 위해 SpringSecurity 사용

인터넷이 발전하면서 점점 더 많은 애플리케이션에 보안 제어가 필요해졌습니다. Spring Security는 다양한 Java 애플리케이션에 통합될 수 있는 인증 및 권한 부여 기능을 제공하는 오픈 소스 프레임워크입니다. 이 기사에서는 Java API 개발에서 보안 제어를 위해 Spring Security를 ​​사용하는 방법을 살펴봅니다.

1. Spring Security란 무엇입니까

Spring Security는 Spring 프레임워크의 보안 제어를 위한 확장 프레임워크입니다. 이는 사용자 인증, 권한 부여 및 일반적인 공격에 대한 보호와 같은 몇 가지 일반적인 보안 기능을 제공합니다. Spring Security는 초기에는 Acegi Security라고 불리며 Acegi Technology에서 개발했으며 나중에 SpringSource(현 VMware)에 인수되어 SpringSource의 오픈 소스 프로젝트가 되었습니다. Spring Security는 확장 가능하고 유연하며 다양한 인증 방법(예: 양식 기반, CAS, LDAP, OpenID 등)과 함께 사용할 수 있습니다. 이번 글에서는 폼 기반 인증 방법을 소개하겠습니다.

2. Spring Security의 기본 원칙

Spring Security는 Servlet 및 Filter 기술을 기반으로 보안 제어를 구현합니다. 필터 체인을 통해 클라이언트 요청을 가로채서 인증하고 권한을 부여합니다. Spring Security에서 가장 일반적으로 사용되는 필터는 DelegatingFilterProxy로, 처리를 위해 클라이언트 요청을 Spring Security의 FilterChainProxy에 넘겨줄 수 있습니다. Spring Security의 FilterChainProxy는 요청 URL의 일치 규칙을 기반으로 처리하기 위해 해당 FilterChain을 선택하는 역할을 담당합니다. 각 FilterChain에는 일련의 필터가 포함되어 있으며 각 필터는 신원 인증, 권한 부여, CSRF 공격 방지 등과 같은 특정 보안 제어 작업을 수행하는 역할을 담당합니다.

3. Spring Security 구성

다음은 Spring Security 구성 파일을 사용하는 예입니다.

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("user").password("{noop}password").roles("USER")
                .and()
                .withUser("admin").password("{noop}password").roles("USER", "ADMIN");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .and()
            .logout()
                .logoutUrl("/logout")
                .logoutSuccessUrl("/login");
    }
}

위 구성 파일은 두 개의 사용자 이름과 비밀번호 및 해당 역할을 정의합니다. 그 중 {noop}은 일반 텍스트 비밀번호 저장을 사용한다는 의미입니다. 실제 개발에서는 암호화 알고리즘을 사용하여 비밀번호를 암호화하고 저장하는 것이 좋습니다. 인증 및 권한 부여를 위해 구성에 AuthorizeRequests 메소드를 사용할 수 있습니다. 위 구성에서 /admin/** 액세스 요청은 ADMIN 역할을 가진 사용자만 액세스할 수 있습니다. 기타 요청의 경우 인증만 필요합니다. Spring Security는 또한 formLogin 메소드를 호출하여 이를 구성하고 logout 메소드를 사용하여 로그아웃 기능을 구현합니다.

4. 인증 및 권한 부여를 위해 Spring Security를 ​​사용하세요

다음은 인증 및 권한 부여가 포함된 샘플 코드입니다.

@RestController
@RequestMapping("/api")
public class ApiController {
    @GetMapping("/hello")
    public String hello() {
        return "Hello, world!";
    }

    @GetMapping("/admin")
    public String admin() {
        return "Welcome, admin!";
    }
}

위 코드에는 Hello World API와 관리자 권한이 필요한 API가 포함되어 있습니다. Spring Security를 ​​사용하여 이러한 API에 대한 보안 제어를 수행하려면 WebSecurityConfigurerAdapter에서 상속되는 클래스를 생성하고 구성 메소드를 구현해야 합니다.

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/api/admin").hasRole("ADMIN")
                .anyRequest().authenticated()
                .and()
            .formLogin();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("user").password("{noop}password").roles("USER")
                .and()
                .withUser("admin").password("{noop}password").roles("USER", "ADMIN");
    }
}

위 코드에서는 Spring Security의 inMemoryAuthentication 메소드를 사용하여 두 명의 사용자를 생성했습니다. 하나는 USER를 사용합니다. 역할은 ADMIN 및 USER 역할을 사용합니다. 구성 메소드에서는 AuthorizeRequests 메소드를 사용하여 ADMIN 역할을 가진 사용자에게만 액세스를 허용하도록 /api/admin API를 구성하고, anyRequest를 사용하여 다른 요청에는 인증이 필요하도록 구성합니다. 마지막으로 formLogin 메소드를 사용하여 양식 인증 기능을 구성합니다.

위 구성을 사용한 후 사용자가 신원 인증이 필요한 API에 액세스하면 Spring Security는 올바른 사용자 이름과 비밀번호를 입력한 후 인증을 받고 인증이 필요한 API에 액세스할 수 있습니다. API.

5. 요약

본 글에서는 Java API 개발에서 보안 제어를 위해 Spring Security를 ​​사용하는 방법을 소개하고, Spring Security의 기본 원칙, 구성 및 사용법을 자세히 설명합니다. Spring Security는 Java 애플리케이션에 대한 완전한 신원 인증 및 권한 부여 기능을 제공하는 강력하고 사용하기 쉽고 유연하며 확장 가능한 보안 프레임워크입니다. 프로그래머가 심층적으로 연구하고 적용할 가치가 있습니다.

위 내용은 Java API 개발에서 보안 제어를 위해 SpringSecurity 사용의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!