08. Spring Security with JWT Part. 1

REST API 서비스와 Stateless 아키텍처

REST API

• API 서비스 개발을 위한 가장 일반적인 접근 방법이며 (사실상) 표준
• 엄격하게 REST API 디자인 원칙을 따르는 것는 쉽지 않음
• 어쨋든 통상적으로 REST API 라고 부르고 있음 — 본 과정에서는 사회통념을 따르도록 함

• Java, Python, Go 등 다양한 언어로 풍부한 레퍼런스가 존재 — 구현이 쉬움

• HTTP 프로토콜 기반만 따르면 어떤 기술이든 응용 가능(XML, JSON)

• 앞에서 알아본 3-Tier Architecture 구조와 REST API 서비스를 궁합이 좋음
• 3-Tier Architecture의 장점 대부분은 REST API 서비스를 개발/운영할때 여전히 유요함

• REST API 서비스에서 Session을 꼭 써야 하는가에 대해서는 서비스 성격에 따라 고민이 필요함

JWT (Json Web Token)

• 서버에서 사용자가 성공적으로 인증되면 JWT를 반환함

• 클라이언트는 JWT를 로컬 영역에 저장하고, 이후 서버에 요청을 보낼 때 JWT를 HTTP 헤더에 포함시킴

• 서버는 클라이언트가 전달한 JWT를 통해 사용자를 식별할 수 있음

REST API with JWT 맛보기

• 불필요한 의존성 및 구현 제거
• thymeleaf 템플릿 및 spring-session 의존성 제거
• spring-boot-starter-thymeleaf, thymeleaf-extras-springsecurity5, spring-session-jdbc
• WebMvcConfigure 클래스 삭제

• Spring Security 설정 변경
• csrf, headers, formLogin, http-basic, rememberMe, logout filter 비활성화 처리
• Session 관련 정책은 STATELESS 변경

• JWT 의존성 추가 및 설정
• java-jwt — java 기반 JWT 모듈

<dependency>
  <groupId>com.auth0</groupId>
  <artifactId>java-jwt</artifactId>
  <version>3.18.1</version>
</dependency>

GitHub - auth0/java-jwt: Java implementation of JSON Web Token (JWT)
A Java implementation of JSON Web Token (JWT) - RFC 7519. If you're looking for an Android version of the JWT Decoder take a look at our JWTDecode.Android library. This library requires Java 8 or higher. The last version that supported Java 7 was 3.11.0.

https://github.com/auth0/java-jwt

• 만료시간을 1분으로 하는 JWT 토큰 설정을 추가
• header — HTTP Header 이름
• issuer — 토큰 발급자
• client-secret — HS512 알고리즘으로 서명을 수행할 것이기 때문에 키 길이를 64바이트로 해야함
• expiry-seconds — 토큰 만료 시간 (초)

jwt:
	header: token
  issuer: prgrms
  client-secret: EENY5W0eegTf1naQB2eDeyCLl5kRS2b8xa5c4qLdS0hmVjtbvo8tOyhPMcAmtPuQ
  expiry-seconds: 60

@Component
@ConfigurationProperties(prefix = "jwt")
public class JwtConfigure {

  private String header;

  private String issuer;

  private String clientSecret;

  private int expirySeconds;

  public String getHeader() {
    return header;
  }

  public void setHeader(String header) {
    this.header = header;
  }

  public String getIssuer() {
    return issuer;
  }

  public void setIssuer(String issuer) {
    this.issuer = issuer;
  }

  public String getClientSecret() {
    return clientSecret;
  }

  public void setClientSecret(String clientSecret) {
    this.clientSecret = clientSecret;
  }

  public int getExpirySeconds() {
    return expirySeconds;
  }

  public void setExpirySeconds(int expirySeconds) {
    this.expirySeconds = expirySeconds;
  }

}

• Jwt 클래스 — 2개의 주요 메소드 제공
• JWT 발행을 위한 sign 메소드
• JWT 검증을 위한 verify 메소드

@Bean
public Jwt jwt(JwtConfigure jwtConfigure) {
  return new Jwt(
    jwtConfigure.getIssuer(),
    jwtConfigure.getClientSecret(),
    jwtConfigure.getExpirySeconds()
  );
}

public final class Jwt {

  private final String issuer;

  private final String clientSecret;

  private final int expirySeconds;

  private final Algorithm algorithm;

  private final JWTVerifier jwtVerifier;

  public Jwt(String issuer, String clientSecret, int expirySeconds) {
    this.issuer = issuer;
    this.clientSecret = clientSecret;
    this.expirySeconds = expirySeconds;
    this.algorithm = Algorithm.HMAC512(clientSecret);
    this.jwtVerifier = com.auth0.jwt.JWT.require(algorithm)
      .withIssuer(issuer)
      .build();
  }

	public String sign(Claims claims) {
    Date now = new Date();
    JWTCreator.Builder builder = com.auth0.jwt.JWT.create();
    builder.withIssuer(issuer);
    builder.withIssuedAt(now);
    if (expirySeconds > 0) {
      builder.withExpiresAt(new Date(now.getTime() + expirySeconds * 1_000L));
    }
    builder.withClaim("username", claims.username);
    builder.withArrayClaim("roles", claims.roles);
    return builder.sign(algorithm);
  }

  public Claims verify(String token) throws JWTVerificationException {
    return new Claims(jwtVerifier.verify(token));
  }

  // ... 생략 ...

	static public class Claims {/*생략*/}
}

• JWT 토큰 생성 및 검증을 확인할 수 있는 API를 추가
• GET /api/user/{username}/token — 주어진 username으로 사용자정보를 가져와서 JWT 토큰을 만들고 반환하는 API



• GET /api/user/token/verify — HTTP 헤더를 통해 JWT 토큰을 전달받고, 토큰의 Claims을 Map으로 변환하여 반환하는 API

미션

• JWT 필터 (JwtAuthenticationFilter) 만들어보기
• HTTP 요청 헤더에서 JWT 토큰이 있는지 확인
• JWT 토큰에서 username, roles을 추출하여 UsernamePasswordAuthenticationToken을 생성
• 앞서 만든 UsernamePasswordAuthenticationToken를 SecurityContext에 넣어줌
• JWT 필터를 Spring Security 필터 체인에 추가 (어디에 추가하면 좋을지 고민)
• 필터를 추가한 후 HTTP 요청에 JWT 토큰을 추가하면, GET /api/user/me API 호출이 성공해야 함
• UserRestControllerTest 테스트를 통과해야 함