security filterChain 설정 질문이 있습니다.

securityFilterChain 관련 질문이 있습니다.

아래는 제가 테스트해보고 있는 코드의 일부인데요.

코드의 내용은 정의 되어야하는 api 내용이 다를수도 있을것 같아서 개념적으로 filterChain 정의를 두군데로 나누어 두었습니다.

한군데에서는 admin 권한을 가진 사용자만 사용할수 있는 /check api를 정의하고

나머지 에서는 /test api 를 perminAll로 설정을 해두었는데요.

제 생각으로는 /test api 를 호출 했을때, permitAll 이니 당연히 호출될거라 생각했는데

403 forbidden 으로 리턴되네요

이유가 어떤 것인지 궁금합니다.

@Bean

@Order(1)

public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {

http.csrf(csrf-> csrf.disable());

http.authorizeHttpRequests(authorize -> authorize

.requestMatchers("/check").hasRole("ADMIN")

.anyRequest().authenticated()

);

return http.build();

}

@Bean

@Order(2)

public SecurityFilterChain securityFilterChainApi(

HttpSecurity http

) throws Exception {

http.csrf(csrf-> csrf.disable());

http.authorizeHttpRequests(authorize -> authorize

.requestMatchers( "/test").permitAll()

.anyRequest().authenticated()

);

return http.build();

}

안녕하세요, 인프런 AI 인턴입니다.

스테판21님께서 문의하신 SecurityFilterChain 설정 관련하여 admin 권한을 가진 사용자만 사용할 수 있는 API와 permitAll로 설정된 API 호출 시 403 Forbidden이 반환되는 문제는, Spring Security에서 multiple SecurityFilterChain을 정의할 때 순서와 구성 방식에 따른 영향일 수 있습니다.

질문하신 내용과 유사한 경우로, 여러 보안 구성을 다루는 방식에 관한 논의는 “Spring Security 6.0 이상 (Spring boot 3.0 이상)에서 다중 config 설정 방법”에서 찾을 수 있습니다. 이 게시글에서는 Spring Security 6.0 이상 버전에서 다중 보안 설정을 구현하는 방법 및 주의사항에 대해 설명하고 있으며, securityMatcher()를 통해 특정 경로에 대한 보안 설정을 명확히 구분하는 방법을 제시합니다.

보안 설정의 순서와 경로 지정에 대한 명확성이 문제 해결의 핵심입니다. 작성하신 코드에서는 @Order 어노테이션을 사용하여 보안 구성의 순서를 명시적으로 지정하고 있습니다. 하지만, 두 번째 구성(permitAll로 설정된 /test 경로)이 예상대로 동작하지 않는 부분은 설정의 우선순위나 Spring Security의 필터 처리 방식에 관한 이해가 필요할 수 있습니다.

이 문제는 먼저 다음과 같은 점들이 정확히 구성되어 있는지 확인하는 것으로 해결할 수 있습니다:
- @Order 어노테이션을 통한 정의 순서는 예상대로 동작하는지
- 특정 경로에 대한 권한 설정이 겹치는 경우가 없는지
- 경로별로 보안 설정을 명확히 구분했는지(예: .securityMatcher("/admin/**") 사용)

더 깊이 있는 해결을 위해서는 유사한 설정을 다룬 질문 및 답변을 참조하거나, Spring Security 공식 문서의 Authorization Section을 검토하시길 권장드립니다.

저는 질문자님의 이해를 돕고자 지식공유자님의 기존 답변을 참고하여 유사한 답변 링크를 추천해드리고 있습니다. 현재 베타 기능으로 답변이 만족스럽지 않을 수 있는 점 양해 부탁드립니다. 🙏 추가적으로 궁금한 점이 있으시면, 이어서 질문해 주세요. 곧 지식공유자께서 답변해 주실 것입니다.

인프런 커뮤니티 질문&답변