인프런 커뮤니티 질문&답변

안녕하세요 이렇게 좋은 Spring Security에 애를 많이 먹던 도중 늦게나마 열심히 듣고 있는 사람입니다.

강의를 들으면서 Spring Security 6.0 이상 버전으로 혼자 마이그레이션 해보며 공부를 진행하는데요..

다른 분들은 모르겠지만 저는 6.0 이상 버전에서의 다중 보안 설정에서 애를 좀 먹어서.. 혹시나 저 같으신 분들이 있으실까봐 글을 남깁니다..!

다름이 아니라 Spring Security 6.0 이상 버전에서는 먼저

오버라이드해서 함수를 구현하는 것이 아니라 컴포넌트화 시켜서 진행합니다. 또한 HttpSecurity 안의 내용을 구현하는데 변경점이 있다는 것이 가장 큰 차이점인 것 같습니다.

예를 들어 UserSecurityConfig, AdminSecurityConfig를 만들어서 각 경우에 따라 다른 설정을 적용하고 싶은 경우에 두 가지의 config 파일을 만들 수 있다고 가정하면.. 저의 경우에는 AdminSecurityConfig에서 지정한 부분이 권한 정보에 따라 접근이 막히지 않고 다 접근이 가능한 ("/admin/pay"를 user가 접근 가능) 상황이었습니다. 뭐가 문제인지 한참을 찾던 도중

https://docs.spring.io/spring-security/reference/servlet/configuration/java.html

공식 문서를 통해 답을 찾았습니다.

간략하게 해결법부터 말씀드리자면 path로 접근 제한을 하는 경우에 http.securityMatcher()를 사용해야 한다는 점 입니다.

 이렇게 하면 아주 잘 구분이 되더군요..!

혹시나 저처럼 하시는 분이 계실까봐 남깁니다..!

@Bean
@Order(0)
public SecurityFilterChain adminFilterChain(HttpSecurity http) throws Exception{
        http
                .securityMatcher("/admin/pay")
                .authorizeHttpRequests(request ->
                        request.anyRequest().hasRole("ADMIN"));

        return http.build();
    }
    @Bean
    @Order(1)
    public SecurityFilterChain systemFilterChain(HttpSecurity http) throws Exception{
        http
                .securityMatcher("/admin/**")
                .authorizeHttpRequests(request -> request
                        .anyRequest().hasAnyRole("SYS", "ADMIN"));
        return http.build();
    }
    @Bean
    @Order(2)
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception{
        http
                .authorizeHttpRequests(request -> request
                        .requestMatchers(antMatcher("/user/**")).hasRole("USER")
                        .anyRequest().authenticated());