Spring Boot 3의 기본 보안 설정

 

Spring Boot 3는 개발자들에게 강력한 보안 기능을 기본적으로 제공하여 안전한 웹 애플리케이션을 쉽게 구축할 수 있도록 돕습니다. 특히 최신 보안 표준과 Java 17 이상의 환경을 지원하여 이전 버전보다 더 나은 성능과 보안성을 제공합니다. 이번 글에서는 Spring Boot 3의 기본 보안 설정과 이를 활용하는 방법, 그리고 실제 예제를 통해 애플리케이션의 보안을 강화하는 방법을 알아보겠습니다.

---

1. Spring Security란 무엇인가?

Spring Security는 자바 애플리케이션의 인증(authentication)과 권한 부여(authorization)를 위한 강력한 프레임워크입니다. Spring Boot와 통합하면 추가 설정 없이도 안전한 환경을 기본적으로 제공하며, 다음과 같은 기능을 지원합니다:

• 기본 인증(Authentication): 사용자 인증을 쉽게 구현.
• 권한 부여(Authorization): 특정 사용자나 역할(Role) 기반으로 리소스 접근 제어.
• CSRF 보호: 크로스 사이트 요청 위조(CSRF) 방지.
• 비밀번호 암호화: 안전한 사용자 비밀번호 저장.

---

2. Spring Boot 3의 기본 보안 설정

Spring Boot 3는 프로젝트에 spring-boot-starter-security 의존성을 추가하면 기본 보안 설정을 활성화합니다.

2.1 의존성 추가

Spring Security를 사용하려면 pom.xml에 다음 의존성을 추가합니다:

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

2.2 기본 보안 동작

spring-boot-starter-security 의존성을 추가하면 다음과 같은 기본 보안 동작이 설정됩니다:

1. 모든 HTTP 요청은 인증이 필요합니다.
2. 로그인 페이지는 기본 제공됩니다.
3. 기본 사용자 계정이 생성되며, 콘솔에 사용자 이름과 비밀번호가 출력됩니다.
4. CSRF 보호가 기본적으로 활성화됩니다.

---

3. Spring Boot 3의 기본 사용자 및 비밀번호

Spring Boot는 애플리케이션 실행 시 자동으로 기본 사용자 이름과 비밀번호를 생성합니다. 이는 개발 초기 단계에서 편리하게 사용할 수 있도록 설정된 것입니다.

• 기본 사용자 이름: user
• 기본 비밀번호: 애플리케이션 실행 시 콘솔에 출력됩니다.

예시:

Using generated security password: e8d4e78f-9b2a-4c3f-8a94-b98f2ef6f8cb

---

4. 보안 설정 사용자 정의하기

Spring Boot 3에서는 SecurityFilterChain을 사용하여 보안 구성을 세부적으로 제어할 수 있습니다. 이를 통해 인증, 권한, 및 CSRF와 같은 보안 동작을 커스터마이징할 수 있습니다.

4.1 기본 보안 설정 커스터마이징

다음은 SecurityConfig 클래스를 작성하여 보안을 사용자 정의하는 방법입니다:

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .csrf().disable() // CSRF 보호 비활성화
            .authorizeHttpRequests(authorize -> authorize
                .requestMatchers("/public/**").permitAll() // /public 경로는 인증 없이 접근 가능
                .anyRequest().authenticated() // 그 외의 모든 요청은 인증 필요
            )
            .formLogin(form -> form
                .loginPage("/login") // 사용자 정의 로그인 페이지 설정
                .permitAll()
            )
            .logout(logout -> logout
                .logoutUrl("/logout")
                .logoutSuccessUrl("/login?logout")
            );

        return http.build();
    }
}

---

5. 예제: 사용자 정의 로그인 및 권한 부여

5.1 사용자 엔티티와 서비스 구현

Spring Security는 기본적으로 사용자 정보를 메모리에 저장합니다. 이를 커스터마이징하려면 사용자 정보를 데이터베이스나 외부 소스로 관리해야 합니다. 다음은 사용자 엔티티와 서비스 구현의 예입니다.

사용자 엔티티

import jakarta.persistence.Entity;
import jakarta.persistence.Id;

@Entity
public class AppUser {

    @Id
    private String username;
    private String password;
    private String role;

    // Getters and Setters
}

사용자 서비스

import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class CustomUserDetailsService implements UserDetailsService {

    private final UserRepository userRepository;

    public CustomUserDetailsService(UserRepository userRepository) {
        this.userRepository = userRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        AppUser user = userRepository.findByUsername(username)
            .orElseThrow(() -> new UsernameNotFoundException("User not found"));
        
        return User.builder()
            .username(user.getUsername())
            .password(user.getPassword())
            .roles(user.getRole())
            .build();
    }
}

5.2 비밀번호 암호화

Spring Security는 비밀번호를 안전하게 저장하기 위해 반드시 암호화를 사용해야 합니다.

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
public class SecurityBeans {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

---

6. 실행 및 테스트

6.1 애플리케이션 실행

애플리케이션을 실행하면 설정된 보안 규칙에 따라 동작합니다. 인증되지 않은 사용자는 보호된 경로에 접근할 수 없으며, 로그인 페이지로 리디렉션됩니다.

6.2 테스트 시나리오

1. /public 경로는 인증 없이 접근 가능.
2. /admin 경로는 관리자 역할만 접근 가능.
3. 사용자 정의 로그인 페이지(/login)를 통한 인증.

---

7. 결론

Spring Boot 3의 기본 보안 설정은 안전한 애플리케이션 구축을 위한 강력한 시작점을 제공합니다. 기본 설정을 이해하고, 필요에 따라 커스터마이징하면 애플리케이션의 보안을 더욱 강화할 수 있습니다. 이번 글에서 소개한 예제를 기반으로 자신만의 보안 정책을 설계해보세요!
Spring Boot 3와 Spring Security를 활용해 신뢰할 수 있는 웹 애플리케이션을 구축하는 것은 이제 더 이상 어려운 일이 아닙니다.