Feature/sec

[sat7312]

📌 과제 설명

• Spring Security를 도입하여 JWT 기반 Stateless 인증 구현
• 로그인 시 발급된 Access Token을 Authorization 헤더에 담아 인증이 필요한 API에 접근
• refreshToken은 HttpOnly 쿠키로 전달해 XSS 방지

👩‍💻 요구 사항과 구현 내용

• CustomAuthenticationFilter
  • 요청마다 Authorization: Bearer {token} 헤더를 추출해 JWT 검증 후 SecurityContext에 저장
• CustomUserDetailsService
  • username으로 DB 조회 후 SecurityUser 반환
• SecurityUser
  • id, nickname 필드를 추가한 커스텀 UserDetails
• SecurityConfig
  • CSRF 비활성화, Stateless 세션, URL별 인증 규칙, 401/403 JSON 응답, CORS 통합
• HttpOnly 쿠키 방식 전환
  • 로그인 시 refreshToken을 Set-Cookie 헤더로 전달, 토큰 재발급/로그아웃 시 @CookieValue로 쿠키에서 읽음
  • TokenReq제거, UsersRes에서 refreshToken 필드 제거
• AssetController 인증 방식 변경
  • @PathVariable Long userId 제거, @AuthenticationPrincipal SecurityUser로 교체

✅ PR 포인트 & 궁금한 점

• CustomAuthenticationFilter에서 JWT가 유효하지 않을 때 그냥 통과시키는 방식을 사용했습니다.
• CorsConfig를 삭제하고 SecurityConfig 내 UrlBasedCorsConfigurationSource로 통합했습니다. Spring Security 필터 체인을 거치기 전에 CORS 처리가 되도록 했습니다.
• 실습 때와 마찬가지로 리프레시 토큰 쿠키에 Secure=true 설정을 적용했습니다. 따라서 로컬에서 쿠키가 전송되지 않을 수도 있습니다. 배포환경(HTTPS) 기준으로 설정 했습니다.

[zioJioh]

크게 문제 없는 것 같습니다.