Spring Security, JWT 동적 권한 부여 질문 드려요

Question

현재는 커스텀 어노테이션을 사용해 MEMBER.ROLE로만 컨트롤러 단에서 접근 제어를 하고 있습니다.목표는 유저별로 DB에 저장된 권한 리스트를 긁어와서 해당 리소스에 대한 접근만 가능하도록 하고 싶습니다.권한 관리 구조는우선 그룹이 존재하고 해당 그룹에 권한들을 부여할 수 있습니다.권한은 ENUM으로 관리합니다 예를들어 PRODUCT(상품), MYPAGE(마이페이지) 라는 상수가 그룹에 부여되어 있으면 실제로 해당 페이지를 제외한 다른 페이지 접근에서는 FORBIDDEN 떠야합니다.그룹에 포함된 멤버는 해당 그룹의 권한을 다 가지게 되고 멤버는 여러 그룹에 속할 수 있습니다.이러한 경우에 어떤식으로 동적 권한 할당을 구현해야할지 잘 모르겠네요.ENUM값을 가져와서 해당되는 url로 접근을 허용해야 하는 걸까요.시큐리티에 대한 지식이 부족해서.. 가이드 제시 부탁드립니다.

오리구이 · Answer

간단하게 생각해보면 UserDetailsService 에서 고객의 룰권한값을 가져오고, filterChain 를 하나 걸어 requestMatchers("/product/**").hasAuthority("PERM_PRODUCT") 뭐 이런식으로 하던지 아니면 컨트롤러에서 어노테이션으로 @PreAuthorize("hasAuthority('PERM_PRODUCT')") 이런식으로 걸면 될것같아요. 아니면 권한 메뉴가 db에 데이터로 있다고 하면 filterChain 메뉴별권한을 조회해서 처리하던지요

휘뚜루마뚜루루 · Answer

저같은 경우는 JWT + 필터 + SecurityContext + @PreAuthorize 조합으로 사용하고있는데 jwt의 payload에 권한을 넣어두고 filter에서 토큰을 파싱해서 securtyContext에 권한이나 필요한 값들을 스레드당 휘발성 컨텍스트로 셋팅하고 컨트롤러 단에서 엔드포인트 마다 preAuthorize로 인터셉트해서 securtyContext를 사용해서 권한에 대한 검증하는식으로 사용하고 있습니다.

Spring Security, JWT 동적 권한 부여 질문 드려요

2개의 답변

#spring-security 목록