S02L05 - 스프링 부트 OAuth2 JWT 토큰 생성기 계속

html

Spring Boot를 사용한 OAuth2 JWT 토큰 생성 구현: 종합 가이드
목차

소개
Authentication Controller 설정

필요한 패키지 가져오기
AuthController 구성


Authentication을 위한 Payload 생성

User Login Payload
Token Payload


보안 설정 구성

Localhost에서 CSRF 비활성화
Security Configuration에 JWT 통합


JWT 토큰 생성 및 검증

Token Service 구현
RSA 키 생성


애플리케이션 실행 및 테스트

애플리케이션 실행
토큰 생성 테스트


결론
추가 자료


소개
웹 애플리케이션 보안 분야에서 인증(Authentication)과 권한 부여(Authorization)는 매우 중요합니다. 강력한 보안 조치를 구현하면 권한이 있는 사용자만 보호된 리소스에 접근할 수 있도록 보장할 수 있습니다. API 보안을 위한 널리 채택된 표준 중 하나는 OAuth2와 JWT(JSON Web Tokens)를 결합한 것입니다. 이 가이드는 Spring Boot를 사용하여 OAuth2 JWT 토큰 생성기를 구축하는 방법을 초보자와 기본 지식을 가진 개발자를 위해 단계별로 설명합니다.
핵심 사항:

Spring Boot에서 authentication controller 설정.
User login 및 token 생성을 위한 payload 생성 및 관리.
Localhost를 위한 CSRF 비활성화를 포함한 보안 설정 구성.
RSA 키를 사용한 JWT 토큰 생성 및 검증.
원활한 인증을 보장하기 위한 애플리케이션 실행 및 테스트.

장단점:


장점
단점


OAuth2와 JWT를 통한 보안 강화
RSA 키 관리에 신중을 기해야 함


대규모 애플리케이션에 적합한 확장성
초보자에게 초기 설정이 복잡할 수 있음


무상태 인증 메커니즘
토큰 관련 문제 디버깅이 어려울 수 있음


사용 시기:
특히 마이크로서비스 아키텍처나 무상태 세션이 필요한 애플리케이션에서 안전한 인증 및 권한 부여 메커니즘이 요구되는 RESTful API를 구축할 때 이 설정을 구현하세요.

Authentication Controller 설정
Authentication Controller는 OAuth2 JWT 구현의 핵심으로, 사용자 인증 요청과 토큰 생성을 처리합니다.
필요한 패키지 가져오기
Spring Framework에서 필요한 패키지를 가져오는 것부터 시작하세요:




		
		
			
			
Java
			
			import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.core.Authentication;
import org.springframework.web.bind.annotation.*;
import org.studyeasy.SpringRestdemo.service.TokenService;

			
				
					
				
					1
2
3
4
5
				
						import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.core.Authentication;
import org.springframework.web.bind.annotation.*;
import org.studyeasy.SpringRestdemo.service.TokenService;
 
					
				
			
		


AuthController 구성
AuthController를 필요한 의존성과 엔드포인트로 정의하세요:




		
		
			
			
Java
			
			@RestController
@RequestMapping("/auth")
public class AuthController {

    private final AuthenticationManager authenticationManager;
    private final TokenService tokenService;

    public AuthController(AuthenticationManager authenticationManager, TokenService tokenService) {
        this.authenticationManager = authenticationManager;
        this.tokenService = tokenService;
    }

    @PostMapping("/token")
    public Token generateToken(@RequestBody UserLogin userLogin) throws AuthenticationException {
        Authentication authentication = authenticationManager.authenticate(
            new UsernamePasswordAuthenticationToken(userLogin.getUsername(), userLogin.getPassword())
        );
        String token = tokenService.generateToken(authentication);
        return new Token(token);
    }
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
				
						@RestController
@RequestMapping("/auth")
public class AuthController {
 
    private final AuthenticationManager authenticationManager;
    private final TokenService tokenService;
 
    public AuthController(AuthenticationManager authenticationManager, TokenService tokenService) {
        this.authenticationManager = authenticationManager;
        this.tokenService = tokenService;
    }
 
    @PostMapping("/token")
    public Token generateToken(@RequestBody UserLogin userLogin) throws AuthenticationException {
        Authentication authentication = authenticationManager.authenticate(
            new UsernamePasswordAuthenticationToken(userLogin.getUsername(), userLogin.getPassword())
        );
        String token = tokenService.generateToken(authentication);
        return new Token(token);
    }
}
 
					
				
			
		


설명:

AuthenticationManager: 인증 과정을 처리합니다.
TokenService: JWT 토큰 생성을 담당합니다.
@PostMapping("/token"): 인증 요청을 받고 JWT 토큰으로 응답하는 엔드포인트입니다.


Authentication을 위한 Payload 생성
Payload는 클라이언트와 서버 간에 교환되는 데이터의 구조를 정의하는 Data Transfer Objects (DTO)입니다.
User Login Payload
username과 password를 포함하는 사용자 로그인을 위한 payload를 생성하세요.




		
		
			
			
Java
			
			package org.studyeasy.SpringRestdemo.payload.auth;

public record UserLogin(String username, String password) {}

			
				
					
				
					1
2
3
4
				
						package org.studyeasy.SpringRestdemo.payload.auth;
 
public record UserLogin(String username, String password) {}
 
					
				
			
		


설명:
간결성을 위해 Java Records를 사용하여 UserLogin은 인증에 필요한 자격 증명을 캡처합니다.
Token Payload
생성된 JWT 토큰을 캡슐화하는 payload를 정의하세요.




		
		
			
			
Java
			
			package org.studyeasy.SpringRestdemo.payload.auth;

public record Token(String token) {}

			
				
					
				
					1
2
3
4
				
						package org.studyeasy.SpringRestdemo.payload.auth;
 
public record Token(String token) {}
 
					
				
			
		


설명:
Token 레코드는 성공적인 인증 후 클라이언트에 전송될 JWT 토큰 문자열을 보유합니다.

보안 설정 구성
적절한 보안 설정은 애플리케이션이 리소스를 충분히 보호하면서 합법적인 접근을 허용하도록 보장합니다.
Localhost에서 CSRF 비활성화
Cross-Site Request Forgery (CSRF) 보호는 웹 애플리케이션에 필수적이지만, 개발 중 API 테스트에 방해가 될 수 있습니다. localhost 환경에서는 CSRF를 비활성화하세요.




		
		
			
			
Java
			
			package org.studyeasy.SpringRestdemo.security;

import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;

public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf().disable() // localhost에서 CSRF 비활성화
            .authorizeRequests()
            .antMatchers("/auth/**").permitAll()
            .anyRequest().authenticated();
        return http.build();
    }
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
				
						package org.studyeasy.SpringRestdemo.security;
 
import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;
 
public class SecurityConfig {
 
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf().disable() // localhost에서 CSRF 비활성화
            .authorizeRequests()
            .antMatchers("/auth/**").permitAll()
            .anyRequest().authenticated();
        return http.build();
    }
}
 
					
				
			
		


설명:

csrf().disable(): CSRF 보호를 비활성화하여 테스트를 용이하게 합니다.
antMatchers("/auth/**").permitAll(): authentication 엔드포인트에 대한 비인증 접근을 허용합니다.

Security Configuration에 JWT 통합
보안 필터 체인 내에서 JWT 토큰 검증을 통합하여 API 엔드포인트를 보호하세요.




		
		
			
			
Java
			
			http
    .addFilterBefore(new JwtAuthenticationFilter(tokenService), UsernamePasswordAuthenticationFilter.class);

			
				
					
				
					1
2
3
				
						http
    .addFilterBefore(new JwtAuthenticationFilter(tokenService), UsernamePasswordAuthenticationFilter.class);
 
					
				
			
		


설명:

JwtAuthenticationFilter: 들어오는 요청에서 JWT 토큰을 검증하는 커스텀 필터입니다.
addFilterBefore: Spring Security의 기본 인증 필터 전에 JWT 필터를 배치합니다.


JWT 토큰 생성 및 검증
안전한 JWT 토큰을 생성하고 검증하여 인증된 사용자만 보호된 리소스에 접근할 수 있도록 합니다.
Token Service 구현
JWT 토큰 생성을 담당하는 TokenService를 구현하세요.




		
		
			
			
Java
			
			package org.studyeasy.SpringRestdemo.service;

import org.springframework.security.core.Authentication;
import org.springframework.stereotype.Service;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.security.PrivateKey;
import java.util.Date;

@Service
public class TokenService {

    private final PrivateKey privateKey;

    public TokenService(RsaKeyProperties rsaKeys) {
        this.privateKey = rsaKeys.getPrivateKey();
    }

    public String generateToken(Authentication authentication) {
        return Jwts.builder()
            .setSubject(authentication.getName())
            .setIssuedAt(new Date())
            .setExpiration(new Date(System.currentTimeMillis() + 86400000)) // 1일 만료
            .signWith(privateKey, SignatureAlgorithm.RS256)
            .compact();
    }
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
				
						package org.studyeasy.SpringRestdemo.service;
 
import org.springframework.security.core.Authentication;
import org.springframework.stereotype.Service;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.security.PrivateKey;
import java.util.Date;
 
@Service
public class TokenService {
 
    private final PrivateKey privateKey;
 
    public TokenService(RsaKeyProperties rsaKeys) {
        this.privateKey = rsaKeys.getPrivateKey();
    }
 
    public String generateToken(Authentication authentication) {
        return Jwts.builder()
            .setSubject(authentication.getName())
            .setIssuedAt(new Date())
            .setExpiration(new Date(System.currentTimeMillis() + 86400000)) // 1일 만료
            .signWith(privateKey, SignatureAlgorithm.RS256)
            .compact();
    }
}
 
					
				
			
		


설명:

generateToken: 사용자의 authentication 세부 정보를 사용하여 JWT 토큰을 생성합니다.
RS256: RSA SHA-256 알고리즘을 사용하여 토큰에 서명하여 보안을 강화합니다.

RSA 키 생성
OpenSSL 명령을 사용하여 JWT 토큰 서명 및 검증을 위한 RSA 키 쌍을 생성하세요.




		
		
			
			
Java
			
			openssl genrsa -out keypair.pem 2048
openssl rsa -in keypair.pem -pubout -out public.pem
openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in keypair.pem -out private.pem

			
				
					
				
					1
2
3
4
				
						openssl genrsa -out keypair.pem 2048
openssl rsa -in keypair.pem -pubout -out public.pem
openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in keypair.pem -out private.pem
 
					
				
			
		


설명:

keypair.pem: 생성된 RSA 개인 키를 포함합니다.
public.pem: JWT 토큰을 검증하는 데 사용되는 파생된 공개 키입니다.
private.pem: 서명을 위해 PKCS#8 형식으로 된 개인 키로, 보안을 강화합니다.


애플리케이션 실행 및 테스트
설정이 완료되면 애플리케이션을 실행하고 테스트하여 모든 기능이 예상대로 작동하는지 확인하는 것이 중요합니다.
애플리케이션 실행
Maven을 사용하여 Spring Boot 애플리케이션을 실행하세요:




		
		
			
			
Java
			
			./mvnw spring-boot:run

			
				
					
				
					1
2
				
						./mvnw spring-boot:run
 
					
				
			
		


참고: 로컬 테스트 환경에서는 CSRF가 비활성화되어 있는지 확인하세요.
토큰 생성 테스트
Postman과 같은 도구를 사용하여 인증 흐름을 테스트하세요.

엔드포인트: POST http://localhost:8080/auth/token
Payload:





		
		
			
			
Java
			
			{
  "username": "chand",
  "password": "password"
}

			
				
					
				
					1
2
3
4
5
				
						{
  "username": "chand",
  "password": "password"
}
 
					
				
			
		



예상 응답:





		
		
			
			
Java
			
			{
  "token": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9..."
}

			
				
					
				
					1
2
3
4
				
						{
  "token": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9..."
}
 
					
				
			
		


설명:

성공적인 인증 후 서버는 JWT 토큰으로 응답합니다.
이 토큰은 Authorization 헤더에 Bearer <token> 형식으로 포함하여 보호된 API에 접근하는 데 사용할 수 있습니다.

인증되지 않은 접근 처리:

유효한 토큰 없이 보호된 엔드포인트에 접근하면 401 Unauthorized 상태 코드가 반환됩니다.


결론
Spring Boot 애플리케이션에서 OAuth2와 JWT를 구현하면 인증과 권한 부여를 위한 강력한 메커니즘을 제공하여 보안을 강화할 수 있습니다. 이 가이드는 authentication controller 설정, 필요한 payload 생성, 보안 설정 구성, JWT 토큰 생성 및 검증, 전체 흐름 테스트 과정을 안내했습니다. 이러한 단계를 따르면 개발자는 API가 안전하고 확장 가능하며 유지 관리가 가능하도록 보장할 수 있습니다.
주요 요점:

Authentication controller와 보안 설정의 적절한 구성이 중요합니다.
JWT 토큰은 API 보안을 위한 무상태적이고 효율적인 방법을 제공합니다.
JWT 무결성을 위해 RSA 키를 안전하게 관리하는 것이 필수적입니다.
인증 흐름을 테스트하여 구현이 의도대로 작동하는지 확인할 수 있습니다.

SEO 키워드:
Spring Boot OAuth2 JWT, Spring Security, JWT Token Generation, Spring Boot Authentication, OAuth2 Tutorial, Spring Boot Security Configuration, JWT Implementation, Spring Boot REST API Security, Java Spring JWT, Secure API with JWT

추가 자료

Spring Security 참고 문서
JWT.io - JSON Web Tokens 소개
Baeldung의 Spring Security with JWT 가이드
공식 OpenSSL 문서
OAuth2와 그 흐름 이해하기


참고: 이 기사는 AI에 의해 생성되었습니다.
장점	단점
OAuth2와 JWT를 통한 보안 강화	RSA 키 관리에 신중을 기해야 함
대규모 애플리케이션에 적합한 확장성	초보자에게 초기 설정이 복잡할 수 있음
무상태 인증 메커니즘	토큰 관련 문제 디버깅이 어려울 수 있음