상상코딩

• Certificate > token > src 의 buiold.gradle 의 코드 구성을 확인한다

plugins {
	id 'org.springframework.boot' version '2.7.2'
	id 'io.spring.dependency-management' version '1.0.12.RELEASE'
	id 'java'
}

group = 'com.json'
version = '0.0.1-SNAPSHOT'
sourceCompatibility = '11'

configurations {
	compileOnly {
		extendsFrom annotationProcessor
	}
}

repositories {
	mavenCentral()
}

dependencies {
	implementation 'org.springframework.boot:spring-boot-starter-data-jpa'
	implementation 'org.springframework.boot:spring-boot-starter-security'
	implementation 'org.springframework.boot:spring-boot-starter-web'
	compileOnly 'org.projectlombok:lombok'
	developmentOnly 'org.springframework.boot:spring-boot-devtools'
	runtimeOnly 'com.h2database:h2'
	annotationProcessor 'org.projectlombok:lombok'
	testImplementation 'org.springframework.boot:spring-boot-starter-test'
	testImplementation 'org.springframework.security:spring-security-test'
}

tasks.named('test') {
	useJUnitPlatform()
}

• buiold.gradle에 jwt 의존성을 추가해 준다
  - gradle은 추가 작업 후에는 항상 재실행을 해 준다

implementation 'com.auth0:java-jwt:3.19.2'

• Certificate > token > src > main > resources 에 H2 서버 구성을 위하여 application.yml을 추가한다

spring:
  h2:
    console:
      enabled: true
      path: /h2
  datasource:
    url: jdbc:h2:mem:test
  jpa:
    hibernate:
      ddl-auto: create
    show-sql: true

• Certificate > token > src > main > java > com.json.token  아래에 controller 패키지를 만들고 RestApiController 클래스를 생성한다

package com.json.token.controller;

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class RestApiController {

    @GetMapping("/home")
    public String home() {
        return "<h1>home</h1>";
    }
}

• 프로젝트 실행 및 웹 접속을 테스트 한다

localhost:8080/login	localhost:8080/home

• Certificate > token > src > main > java > com.json.token  아래에 model 패키지와 Member.java 를 생성한다
  - getRoleList는 역활을 ,로 구분하여 여러개를 넣기 때문에 사용한다
  - Role 모델을 추가하여 getRoleList를 대체할 수 있다

package com.json.token.model;

import lombok.Data;

import javax.persistence.Entity;
import javax.persistence.GeneratedValue;
import javax.persistence.GenerationType;
import javax.persistence.Id;
import java.util.ArrayList;
import java.util.Arrays;
import java.util.List;

@Data
@Entity
public class Member {

    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private long id;
    private String username;
    private String password;
    private String roles; // User, MANAGER, ADMIN

    public List<String> getRoleList() {
        if(this.roles.length() > 0) {
            return Arrays.asList(this.roles.split(","));
        }
        return new ArrayList<>();
    }
}

• Certificate > token > src > main > java > com.json.token  아래에 config 패키지를 만들고 SecurityConfig 클래스를 생성한다
  - JWT를 사용하기 위한 기본 설정
   : JWT는 headers에 Authorization 값에 토큰을 보내는 방식이다. (⇒ Bearer)
   : 토큰 정보는 노출되면 안되지만 노출되게 되더라도 유효 시간을 지정해뒀기 때문에 큰 위험이 없다 : 
  
  - .http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
   : Web은 기본적으로 stateless인데 seesion이나 cookie를 사용할 수 있다
   : session / cookie를 만들지 않고 STATELESS로 진행하겠다는 의미이다
  
  - .formLogin().disable()
   : form Login을 사용하지 않는다
  
  - .httpBasic().disable()
   : http 통신을 할 때 headers에 Authorization 값을 ID, Password를 입력하는 방식이다
   : https를 사용하면 ID와 Password가 암호화되어 전달된다
   : http 로그인 방식을 사용하지 않는다

package com.json.token.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.web.SecurityFilterChain;


@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf().disable();
        http.headers().frameOptions().disable();
        http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                .and()
                .formLogin().disable()
                .httpBasic().disable()
                .authorizeRequests()
                .antMatchers("/api/v1/user/**")
                .access("hasRole('ROLE_USER') or hasRole('ROLE_MANAGER') or hasRole('ROLE_ADMIN')")
                .antMatchers("/api/v1/manager/**")
                .access("hasRole('ROLE_MANAGER') or hasRole('ROLE_ADMIN')")
                .antMatchers("/api/v1/admin/**")
                .access("hasRole('ROLE_ADMIN')")
                .anyRequest().permitAll();
        return http.build();
    }
}

•  config 패키지에 CorsConfig 글래스를 생성한다
  - .setAllowCredentials()
   : 서버가 응답할 때 json을 자바스크립트에서 처리할 수 있게 설정해 준다
  
  - .addAllowedOrigin(”*”)
   : 모든 ip에 응답을 허용한다
  
  - .addAllowedHeader(”*”)
   : 모든 header에 응답을 허용한다
  
  - .addAllowedMethod(”*”)
   : 모든 post, get, patch, delete 요청을 허용한다

package com.json.token.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;

@Configuration
public class CorsConfig {

    @Bean
    public CorsFilter corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowCredentials(true);
        config.addAllowedOrigin("*");
        config.addAllowedHeader("*");
        config.addAllowedMethod("*");
        source.registerCorsConfiguration("/api/**", config);

        return new CorsFilter(source);
    }
}

• SecurityConfig 클래스에 코드를 추가한다

@RequiredArgsConstructor //@ 추가

public class SecurityConfig {

    private final CorsFilter corsFilter; //코드 추가

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf().disable();
        http.headers().frameOptions().disable();
        http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                .and()

                .addFilter(corsFilter) // 추가
                
                .formLogin().disable()

• 프로젝트를 재실행 후 웹에 접속한다
  - localhost:8080 , localhost:8080/login 등... 접속은 404 에러가 발생한다