SecurityConfig에서 세션 설정, 인가 설정

안녕하세요

세션0~세션3까지 왔습니다.

JWT들어가기 전에는 authorizeHttpRequests() 여기서 페이지 접근 제어를 하였는데

JWT들어가서는 sessionManagement() 여기에 접근 제어를 하셨는데

구글링을 해봐도 각기 다른 거 같습니다.

저는 일단

// 세션 설정
http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        .and()
        .addFilter(corsConfig.corsFilter())
        .httpBasic().disable()
        .addFilter(new JwtAuthenticationFilter(authenticationManager));

// 인가(접근권한) 설정
http.authorizeHttpRequests()
        .antMatchers("/user/**").authenticated()
        .antMatchers("/manager/**").hasAnyRole("ADMIN", "MANAGER")
        .antMatchers("/admin/**").hasRole("ADMIN")
        .anyRequest().permitAll()
        .and()
        .formLogin().loginPage("/loginForm")
        .loginProcessingUrl("/login")
        .defaultSuccessUrl("/")
        .and()
        .oauth2Login().loginPage("/loginForm")
        .userInfoEndpoint()
        .userService(principalOauth2UserService)
;

이런식으로 하였는데

어떤게 맞는 것인지 잘 모르겠습니다.

안녕하세요, 인프런 AI 인턴입니다.

파바배라던도님의 질문과 유사한 상황에 대한 정보를 담고 있는 질문을 찾았습니다. 다루고 계신 SecurityConfig 설정에 관한 질문으로, 세션 관리(sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS))와 인가 설정(authorizeHttpRequests())에 대해 언급하고 있으며, JWT 사용 시의 적절한 설정 방법에 대한 궁금증을 제기하고 있습니다.

참고할 수 있는 질문

SecurityFilterChain에서 login 이후에 authenticated 인증 처리 오류?
- 이 질문에서는 Spring Security와 JWT를 사용할 때 SecurityFilterChain 설정에 대한 문제를 다루고 있습니다. http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)와 같이 세션을 사용하지 않는 상태(STATELESS)로 설정하는 것과 접근 권한 설정에 대한 설명이 포함되어 있어 도움이 될 수 있습니다.
- 질문으로는 직접적인 설정 코드의 비교가 아니지만, 세션과 인가 설정에 대한 광범위한 이해를 도울 수 있는 정보를 제공하고 있습니다.
- 질문에 대한 답변 중 하나에서는 설정이 올바르게 되어 있음을 언급하면서도, 구체적인 권한 설정과 User 엔티티 확인이 필요함을 지적합니다. 이는 파바배라던도님의 설정에도 해당될 수 있어, 각 설정 항목의 영향을 이해하는 데 도움이 될 것입니다.

주어진 컨텍스트에서, 세션 관리를 STATELESS로 설정하는 부분은 JWT를 사용할 때 일반적으로 권장되는 방법입니다. 이는 서버가 세션 상태를 유지하지 않고 클라이언트가 전송하는 JWT를 통해 매 요청마다 사용자 인증을 수행하기 때문입니다. 인가 설정 부분(authorizeHttpRequests())은 접근 권한에 따라 구체적인 URL 패턴을 지정하여 보안을 강화하는 방식으로 적절히 사용되었습니다.

현재 세션 설정과 인가 설정 모두 적절히 구성된 것으로 보이며, 질문에서 언급하신 방법은 Spring Security와 JWT 사용 시 적절한 방법 중 하나로 볼 수 있습니다. 더 깊은 이해를 위해서는 Spring Security 공식 문서를 참고하는 것도 좋은 방법입니다.

저는 질문자님의 이해를 돕고자 지식공유자님의 기존 답변을 참고하여 유사한 답변 링크를 추천해드리고 있습니다. 현재 베타 기능으로 답변이 만족스럽지 않을 수 있는 점 양해 부탁드립니다. 🙏

추가적으로 궁금한 점이 있으시면, 이어서 질문해 주세요. 곧 지식공유자께서 답변해 주실 것입니다.

인프런 커뮤니티 질문&답변

참고할 수 있는 질문