Spring Security로 OAuth + JWT 방식 로그인 구현 시 response를 어떻게 보내야할까요...??

Question

안녕하세요. 백엔드 개발자를 지향 중인 대학생입니다. 다른 팀원들과 함께 Spring boot, java, Spring Security 활용하여 OAuth &#43; JWT로그인 기능을 구현 중에 정말 도무지 머리를 쥐어짜내도 해결 방안이 떠오르지 않아서 질문드립니다.우선 저는 Spring Security 공부를 위해 별도의 Controller를 통해 관련 기능을 구현하지 않고 Spring Security만을 사용해서 OAuth 리소스 기반의 JWT 발급 및 검증 기능을 구현하는 것을 목표로 삼았는데요.이전까지 OAuth 로그인 및 JWT 구현 절차는 아래와 같이 구현되어있었습니다.클라이언트에서 Authorization code 발급을 위한 요청을 보냄.-> 발급된 Authorization code는 클라이언트가 아닌 CallBack URI로 response 되어 백엔드 서버로 전달됨.-> (이후 내역은 모두 Spring Security OAuth2 플로우 내에서 진행됩니다.)-> 전달된 Authorization code를 활용하여 OAuth 서버에 대한 AccessToken 발급-> 발급한 OAuth Access Token으로 사용자 리소스 획득.-> 획득한 사용자 리소스로 사용자 존재여부 확인하여 회원 등록 및 JWT 발급 진행-> 발급한 JWT(Access Token)를 쿠키로 저장하여 response.sendRedirect()로 localhost:5173 측에 전달과 같이 진행하였습니다. httpSecurity.oauth2Login((oauth2) -> oauth2 .authorizationEndpoint((authorizationEndpointConfig) -> authorizationEndpointConfig.baseUri(&#34;/oauth2/authorization&#34;)) .tokenEndpoint(tokenEndpointConfig -> tokenEndpointConfig.accessTokenResponseClient(customAccessTokenResponseClient()) ) .userInfoEndpoint((userInfoEndpointConfig) -> userInfoEndpointConfig .userService(customOAuth2UserService)) .successHandler(customSuccessHandler) );Security filterChain에서 oauth2Login 순서를 설정해둔 내역입니다. authorizationEndpoint tokenEndpoint userInfoEndpoint는 그냥 OAuth 리소스 가져오는거고, userService에서 가져온 리소스를 가공, DB에 저장합니다. 그리고 successHandler에서 JWT를 발급 및 반환하고요. 하지만 논의 후에 저희 팀에서는 다음과 같은 글들을 참조하여 기존에 AccessToken만 구현해두었던 OAuth &#43; JWT 로그인 기능을 Refresh Token을 추가하여 확장하고자 하였는데요.https://velog.io/&#64;ohzzi/Access-Token%EA%B3%BC-Refresh-Token%EC%9D%84-%EC%96%B4%EB%94%94%EC%97%90-%EC%A0%80%EC%9E%A5%ED%95%B4%EC%95%BC-%ED%95%A0%EA%B9%8C이때, 본 글에서 이야기한 대로 Refresh Token는 쿠키로 저장하여 HTTPOnly, Secure, 특정 Path를 설정하고Access Token은 json으로 반환하여 private 변수로 저장하고자 하였습니다.여기에서 문제가 발생하였는데요.제 코드는 customSuccessHandler에서 AccessToken 및 Refresh Token을 HttpServletResponse의 sendRedirect를 통해 cookie로 제공하고 있었습니다. 그런데 위 글의 내용에 맞추기 위해 AccessToken을 json으로, Refresh Token을 HTTPOnly, Secure, 특정 Path 값을 지닌 Cookie로 제공하려 했는데요.1. json의 반환은 200 OK를, SendRedirect는 302 Redirect를 요구하다 보니 둘 모두를 하나의 response 내에서 처리할 수가 없습니다.2. 그런데, Client 측에서 보냈던 Authorization code 발급 요청은 이미 call back uri에 대해 response 되기에 서버에서 데이터를 전송할 수 없어, sendRedirect()를 통해서 백엔드 서버 내에서 작성된 두 JWT를 쿠키로 전송해주고 있었던 겁니다. 쿠키는 response에 추가하고 redirect만 시켜주면 Client에서의 별도 요청 없이 결과값을 제공할 수 있으니까요. 3. 즉, json을 전송하려면 redirect를 수행하지 못해 FrontEnd에 아예 데이터를 전송할 수 없고, redirect를 수행하면 AccessToken을 json 형식으로 전송할 수 없는 상황입니다.이 문제를 해결하기 위해 다음과 같은 방법들을 생각해봤는데요. 혹시 아래 방법들 외에 다른 방법이 있을 지 궁금합니다. 1안. sendRedirect 없이 직접 redirect를 위한 스트림을 작성하여 header에 AccessToken을 삽입하여 전송&#61;> redirect 요청의 헤더를 읽어올 수는 있긴 한건지 모르겠습니다.2안. HTTPOnly 속성이 부여되지 않은 쿠키로 accessToken을 전송한 후, client 측에서 이를 얻거나 사용할 때 쿠키의 값을 빼와 React에서 private 변수로 저장. 쿠키는 Client 측에서 삭제시킨다. &#61;> Client 측에서 쿠키를 제대로 삭제시키지 못하면 문제가 커질 듯 합니다. 3안. Spring Security에서 OAuth 로그인 및 JWT 생성과 반환 로직을 분할하여 Controller로 작성한다&#61;> Spring Security를 이용하는 의미가 퇴색되는 것 같습니다.. 물론 Filter를 활용해 JWT와 Refresh Token 만료 확인 및 재발급 등의 작업에는 사용하고 있긴 합니다만, oauth 로그인 구현 부문을 제공하는 라이브러리를 사용하면서 이를 사용하지 않는건 좀 이상 한 것 같네요.4안. OAuth 로그인 및 리소스 획득 전반을 프론트엔드로 이관하고, 백엔드는 JWT의 생성과 관리만 api로 담당한다.&#61;> 이건 진짜 도입하기조차 싫네요. 제 일을 다른 쪽에 떠넘기고 싶지 않아요. 5안. 결과로 얻은 jwt들을 캐싱하여 잠시 저장해두고, UUID로 무작위 키를 만든 뒤 response cookie로 해당 UUID 값을 전달합니다. 이후 redirect된 클라이언트 측에서 다시 요청을 보내 해당 UUID 값을 전송하여 캐싱된 JWT들을 받아오고, cookie와 캐싱된 내역들을 삭제합니다.&#61;> 로그인을 구현하는데 캐시까지 끌어쓰는게 맞는지 잘 모르겠네요.. 위 방법 외에 혹시 Spring Security의 어떤 기능을 사용하면 이런 문제를 해결할 수 있다거나.. 하는 게 있는 경우 힌트를 주시면 정말 감사하겠습니다.. ㅠㅠ

charlatan · Answer

질문을 자세히 이해한 것은 아니지만 평소 생각하고 있던 의견을 적겠습니다. 구글을 예로 들면, 구글이 콜백URL로 보내주는 코드로 access token을 요청하고 그것으로 사용자 정보를 받아오는 것은 전부 백엔드에서 일어나는 일이기 때문에 access token과 refresh token(같이 준다면)을 브라우저에 넘길 이유가 전혀 없다고 봅니다. 질문에서는 access, refresh 토큰을 어떻게 브라우저에 넣을까를 고민하고 있어서 질문 자체를 잘 이해를 못하겠습니다. 짐작하건데 access/refresh 토큰을 브라우저에 넣고 프론트엔드에서 직접 리소스 서버에 요청하려는 것인지? 그리고 이것을 "인증(authentication)"으로 해석하려는 것인지? 많은 인터넷 자료나 블로그들이 이런 문제를 고민하고 있어서 이게 과연 타당한 고민인지 근본적으로 생각해봤으면 좋겠습니다. 시큐리티 oath2Login은 손댈 필요가 없을 정도로 자동화되어 있습니다. 제가 보기에 커스텀 구현체를 만들 이유도 별로 없다는 생각입니다. ClientRegistration만 잘 만들어주면 그 이후 과정, access 토큰을 받고 다시 그것으로 사용자 정보를 받아서 OAuth2User로 만들어주는 것은 시큐리티가 알아서 해줍니다. 그리고 컨트롤러 메소드에서 @AuthenticationPrincipal으로 받아서 사용하면 되고... 시큐리티에서는 oauth2Login과 oauth2Client를 구분해서 설명하고 있습니다. 전자는 우리가 흔히 알고 있는 로그인 기능이고 후자는 거의 영구적인 refresh 토큰으로 "Client"(백엔드)가 사용자 정보에 지속적으로 접근하는 용도입니다. 시큐리티 문서에도 있지만 oauth2Login에서는 OAuth2 스펙의 "Authorization Code Grant"을 구현한다고 설명되어 있습니다. "Authorization Code Grant"에서 refresh 토큰은 옵션입니다. 있어도 되고 없어도 됩니다. 그럼 본문에서 refresh 토큰을 어떻게/어디에 저장해야 하지? 라는 질문이 좀 이상하다는 생각이 들죠? 내가 지금 구현하려는 것이 시큐리티나 OAuth2 스펙에 맞는 것인지? 그래서 주제넘는 조언을 드리면 시큐리티 문서와 OAuth2 스펙 문서를 잘 읽어보고 목적에 맞게 방향을 잡으면 어떨까 싶네요. 복잡하게 되는 이유가 타당하지 않아서 그렇습니다.access, refresh 토큰 모두 사용자 정보를 제3자 애플리케이션 "Client"(브라우저 아님)가 얻기 위한 용도입니다. Client가 사용자 정보를 전혀 유지하지 않고 구글에 있는 사용자 정보를 항상 이용하겠다 하면 Client에서 refresh 토큰으로 계속 정보를 받아오는 것이고, 시큐리티 oauth2Client가 바로 그런 용도일 겁니다. 그런데 브라우저(User Agent)가 Client 역할을 하겠다? 이게 타당한 고민인가 하는 겁니다. 물론 그렇게 하면 안된다라고 할 이유는 없습니다만, 시큐리티와 OAuth2가 그런 방향이 아닌 것 같아서 말입니다.access토큰은 사용자 정보에 접근하기 위해 제3자 애플리케이션(Client)이 획득해야 하는 최초 토큰일 뿐입니다. oauth2Login의 목적에서는 이것으로 충분합니다. access 토큰을 받았다면 인증은 완료된 것이고 로그아웃할때 폐기해버려도 상관없습니다. 어차피 로그인 용도로 사용한 것이니까요.

장독깨기 · Answer

외부 인증을 클라이언트에서 처리하거나,서버에서 처리 하려면, 너무 고민 하지 마시구요, 투머치입니다. 그렇게 중요하지 않습니다.그냥 쿠키에 저장하시구요,인증 보다는 시스템이 제공할 기능에 집중하는 것이 좋겠습니다.

Spring Security로 OAuth + JWT 방식 로그인 구현 시 response를 어떻게 보내야할까요...??

2개의 답변

Q&A 목록