SpringBoot InterCeptor에서 jwt검증 이후, Payload에 있는 값을 컨트롤러로 넘기고 싶습니다.

Question

SpringBoot InterCeptor에서 jwt검증 이후, Payload에 있는 값을 컨트롤러로 넘기고 싶습니다.검증 이후, 컨트롤러에 가서 다시 &#64;RequestHeader어노테이션으로 받아와서 검증 후 꺼내오는 절차는 너무 비효율적이라인터셉터에서 Payload 내 특정 Value를 컨트롤러로 넘기고 싶은데 방법이 있을까요..?

zepinos · Accepted Answer

일단 아래 이미지를 보시면 아시겠지만, 어느 시점에서 동작하냐의 차이가 있고, Filter 는 Spring 와 무관한 영역에서 동작하고, Interceptor(HandlerInterceptor) 는 Spring 안에서 동작한다는 것이 특징입니다. 즉, Spring 을 쓰지 않으면 Interceptor 를 쓸 수 없고, 반대로 Spring 을 쓰지 않아도 Filter 는 이용할 수 있다고 받아들이는게 더 맞을 것으로 생각됩니다. (HttpServletRequestWrapper 는 javax.servlet 안에 포함된 것이니 Spring 과 무관하죠) 어짜피 요청에 대해서 모두 체크를 해야할 겁니다. 그래서 부하 문제가 심각하지 않다면 Filter 가 적용될 경로를 잘 설정해서 JWT 을 처리하는 것을 최소화하면 됩니다. 오히려 스택오버플로우에서 제시하는 방법은 서버가 여러개일 경우(클러스터링) 어떻게 처리해야할지 생각해보시면...저라면 추천하지 않을 방법이네요.

zepinos · Answer

interceptor 대신에 filter 로 처리한 뒤 request parameter 에 값을 추가해서 controller 에서 꺼내는 방법은 있습니다. 구글에서 &#34;spring filter set parameter&#34; 와 같은 키워드로 검색하시면 예제를 찾으실 수 있을 겁니다. 검색하다보니, 제가 적어둔 블로그 글이 있긴 하네요...;;;http://zepinos.blogspot.com/2016/04/spring-web-request-parameter.html 제가 적은 내용이 잘못된게 있는지 모르겠지만, 아래 링크에서 좀 더 도움을 받으셔도 될 것 같아요.http://bhmstudy.blogspot.com/2017/03/spring-request-setparameter.html

akrsoTale · Answer

zepinos답변 감사합니다! 구글링을 오래 해보다가 질문글을 올렸는데요,혹시 아래 링크는 어떻게 판단하시는지 궁금합니다. https://stackoverflow.com/questions/58942591/spring-boot-pass-argument-from-interceptor-to-method-in-controller 또 다른 궁금점은, filter와 interceptor가 실제로 동작하는 시점이 달라서 각각 맞는 상황에 사용하면 되는 것으로 아는데,jwt인증의 경우, interceptor보다 filter가 맞나요?

akrsoTale · Answer

zepinos수정답변을 지금 확인하였습니다. 추가 답변 감사합니다.저는 일단 페이로드 안에 있는 특정 값만을 사용 할 예정이고, 각 매핑마다 리퀘스트를 받는게 너무 비효율적인것 같아 interceptor되는 모든 컨트롤러에 적용되게 능동적으로 적용하길 원합니다. 알려주신 방법은 좋은 솔루션이지만, 모든 맵핑에 대응하기에는 너무 많고, 반복적인 것 같습니다. 제가 윗 댓글에 올린 Stackoverflow의 답변을 활용하면 다시한번 filter와 interceptor의 갈림길에 서게 되겠네요.다시금 실행의 위치차이인 것 같은데, 제가 내장 톰캣을 사용하는 SpringBoot라서 Security filter보단 interceptor가 더 flow상 직관적이라 채택했는데, 이에 대한 의견 부탁드립니다!

akrsoTale · Answer

zepinos추가 댓글 올립니다.올려주신 링크 탐방 도중, 블로그를 타고 들어가다가 J2EE표준에 의해 filter의 기준을 정해주었군요.사실상 Spring을 타고 들어가지 않을 상황이면 filter, Spring을 타고 들어갈 상황이면 interceptor가 맞겠네요.JWT모듈이 Spring안에 있으니 이 경우엔 interceptor가 맞는 것 같은데, 제가 잘 이해했을까요?

akrsoTale · Answer

zepinos자세한 설명 감사합니다.interceptor에서도 request값을 넘길 수 있네요. 이것으로 활용해보겠습니다.제가 알기로는 interceptor도 적용될 경로를 지정할 수 있어서 최소화 하는것은 동일하겠네요.지금 프로젝트에서는 따로 세션으로 공유하지 않고 JWT인증으로 공유할 예정이라 클러스터링 걱정은 안해도 될 것 같습니다.

zepinos · Answer

음...뭔가 잘못 이해하신거 같은데요.1. interceptor 는 request 을 수정할 수 없습니다. filter 는 수정이 가능합니다. 그래서 request 에 jwt 에 담겨있는 값을 추가해서 controller 에 보내서 controller 에서 request 에 추가된 값을 꺼내서 사용하라는 의미입니다.2. 위 그림에서 말하는건, 실행되는 시점 등의 차이가 있긴 하지만 거의 비슷한 동작을 하기 때문에 filter 를 쓰는걸 겁내지 말라는 것입니다.3. 적용된 경로를 지정한다는건 무슨 말인지 모르겠네요.4. 세션공유가 무슨 의미인지 모르겠는데, 스텍오버플로우에서 설명하는 건 Interceptor 에서 preHandle 을 이용해 controller 로 가기 전 jwt 에서 내용을 추출해 bean(&#61;POJO)을 하나 새로 만들어 값을 저장하고, controller 에서 이 bean 을 읽어서 jwt 에서 해석한 값을 꺼내와 사용하는, 일종의 편법입니다. 지속적으로 이 bean 을 이용하는게 아니라면 클러스터링 환경을 고민할 필요는 없겠네요. 그래도 저라면 Filter 쪽이 좀 더 유용할 것 같습니다. Java Servlet 에서 기본 제공되는 기능인데 Spring 에 너무 심취해서 굳이 배척할 필요는 없을 것 같네요.5. filter 을 사용하는게 가장 좋은 이유는, 보통 이런 꼼수를 사용하게 되는 경우 parameter 을 조작해서 다른 값으로 변경해서 사용하고 싶다는 요구가 심심찮게 나오기 때문에, 한 번 만들어두면 꽤나 범용(?)적으로 이용할 수 있다는 것 때문입니다.

yeori · Answer

보통 jwt 안에 사용자를 특정할 수 있는 필드값을 묻어놓죠(이를테면 uuid라든가 user_seq같은 값)브라우저에서 요청을 보낼때마다 요청헤더에 jwt토큰을 던져주고, 서버에서는1) 이 토큰을 얻어내서 시간만료, 위변조여부 등을 검증하고2) 토큰을 까본 다음 uuid를 던져내는 식...으로 로직이 시작됩니다.말씀하신 이 과정을 따로 빼내지 않으면 controller안에서 매번 검증 로직을 처리하는 메소드를 매번 호출해야하기때문에 참 거시기하고 귀찮습니다.그래서 aop와 annotation 프로그래밍을 통해서 컨트롤러 메소드에 원하는 값을 끼워넣는 구현을 해본적이 있습니다.최종적으로 이렇게 쓰고 싶다는겁니다.&#64;RestController &#64;RequestMapping(&#34;/user&#34;) public class UserController { &#64;GetMapping(&#34;/assets&#34;) public Object assets(&#64;JwtProp(&#34;uuid&#34;) Integer uuid) { Asset assets &#61; unsubService.listAssets(uuid); return Res.success(&#34;assets&#34;, assets); } }* &#64;JwtProp(&#34;uuid&#34;) - jwt 토큰 안에서 'uuid'라는 필드값만 얻어내고 싶다는 annotation&#64;JwtProp은 아래와 같은 annotation인데... annotation을 아래와 같이 만들고...&#64;Target(PARAMETER) &#64;Retention(RUNTIME) public &#64;interface JwtProp { String value(); } 토큰 검증&#43;필드값 추출을 처리하는 aop 구현체가 처리하게 됩니다. &#64;Aspect &#64;Component public class AuthAccountInjector { final private static String BEARER &#61; &#34;Bearer &#34;; final private TokenService tokenService; final private UserService userService; &#64;Autowired public AuthAccountInjector(TokenService tokenService, UserService userService) { this.tokenService &#61; tokenService; this.userService &#61; userService; } &#64;Pointcut(&#34;&#64;annotation(org.springframework.web.bind.annotation.GetMapping)&#34;) public void getMapping() {} &#64;Pointcut(&#34;&#64;annotation(org.springframework.web.bind.annotation.PostMapping)&#34;) public void post() {} &#64;Pointcut(&#34;&#64;annotation(org.springframework.web.bind.annotation.PutMapping)&#34;) public void put() {} &#64;Pointcut(&#34;&#64;annotation(org.springframework.web.bind.annotation.DeleteMapping)&#34;) public void del() {} &#64;Pointcut(&#34;&#64;annotation(org.springframework.web.bind.annotation.RequestMapping)&#34;) public void requestMapping() {} &#64;Around(&#34;getMapping() || post() || put() || del()&#34;) public Object peekRequestParams(ProceedingJoinPoint jpoint) throws Throwable { return handle(jpoint); } private Object handle(ProceedingJoinPoint jpoint) throws Throwable { Object[] args &#61; hasAnnotation(jpoint); // 여기서 처리함 return jpoint.proceed(args); } private Object [] hasAnnotation(ProceedingJoinPoint jpoint) { Method method &#61; MethodSignature.class.cast(jpoint.getSignature()).getMethod(); Object[] args &#61; jpoint.getArgs(); Annotation[][] annotations &#61; method.getParameterAnnotations(); TypeMap payload &#61; null; for(int ir &#61; 0 ; ir < annotations.length; ir&#43;&#43;) { JwtProp anno &#61; findAnnotation(annotations[ir], JwtProp.class); if (anno !&#61; null) { String prop &#61; anno.value(); if (payload &#61;&#61; null ){ String token &#61; readAuthorization(); payload &#61; tokenService.parseJwt(token); } args[ir] &#61; payload.get(prop); } } return args; // return (param.getClass() &#61;&#61; clazz); } }얘가 하는 일은 &#64;GetMapping, &#64;PostMapping... 같은 어노테이션이 붙은 메소드들에 대해서,그 메소드의 인자들마다 &#64;JwtProp이라는 어노테이션이 붙어있는지 확인합니다.인자에 &#64;JwtProp이 붙어있으면 요청헤더에서 jwt토큰을 읽어들이고( readAuthorization) 이 값을 토큰값 검증하는 tokenService로 넘겨서 디코딩합니다. 이 과정에서 토큰이 만료되거나 변조되면 예외를 던져버림.검증이 성공하면 토큰 구조를 반환해주고 여기에서 원하는 필드값을 조회에서 메소드 인자의 위치에 꽂아넣어줍니다.args[ir] &#61; payload.get(prop);전체적인 흐름은 이렇게 되고, 하나 만들어두면 손이 편안~

zepinos · Answer

yeori 님께서 제시하신 방법도 애노테이션 구현법이 많이 알려지지 않은 형태라 하나의 선택지로 좋아보입니다. 특히 사용할 controller 가 소수라면 더더욱요. 다만, 대다수의 controller method 에서 해당 값을 추출해야 한다면 filter 나 interceptor 에서 url pattern 등을 활용해서 일괄적으로 처리하는게 여전히 나을 것 같습니다.

SpringBoot InterCeptor에서 jwt검증 이후, Payload에 있는 값을 컨트롤러로 넘기고 싶습니다.

9개의 답변

Q&A 목록