[Spring Security] SecurityConfig permitAll() 적용 안 되는 이유

Spring Security를 도입하면 SecurityConfig 클래스 파일에서 웹 애플리케이션의 인증(Authentication) 및 권한 부여(Authorization) 메커니즘을 설정하고 관리하게 된다.

 

🌱 SecurityConfig.class

@RequiredArgsConstructor
@Configuration
public class SecurityConfig {

    private final JwtAuthenticationEntryPoint jwtAuthenticationEntryPoint;
    private final JwtAccessDeniedHandler jwtAccessDeniedHandler;
    private final JwtAuthenticationFilter jwtAuthenticationFilter;

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            // CSRF 비활성화 등 코드 생략

            .addFilterBefore(jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class)
            
            .authorizeHttpRequests(authorize -> authorize
                // 이 부분 주목!!!!!!!
                .requestMatchers("api/auth/**", "api/accounts/**").permitAll()
                .anyRequest().authenticated())

            .exceptionHandling(exceptionHandling -> exceptionHandling
                .authenticationEntryPoint(jwtAuthenticationEntryPoint));

        return http.build();
    }
    
    @Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
        return web -> web.ignoring().requestMatchers("/h2-console/**", "/favicon.ico", "/docs/**");
    }

}

 

해당 프로젝트는 Spring Security에서 디폴트로 설정되어 있는 세션 기반 인증 방식을 사용하지 않기 때문에 기본적으로 제공되는 UsernamePasswordAuthenticationFilter를 사용하지 않는다. 따라서 addFilterBefore 메서드를 이용해 UsernamePasswordAuthenticationFilter 필터 앞단에 JwtAuthenticationFilter를 커스텀 필터로 등록해 주었다.

 

원래 permitAll()을 할 경우 "필터 체인 동작 과정에서 인증 / 인가 예외가 발생해도 ExceptionTranslationFilter를 거치지 않으며, 인증 객체 존재 여부와 상관없이 정상적으로 API 호출이 이루어진다"고 알고 있었는데 permitAll() 메서드에 특정 API을 등록해도 Spring Security의 필터 체인은 무조건 거쳐가는 것이었다.

즉, permitAll()이 먹히지가 않았다.

API URI이 "/auth"로 시작될 경우 JWT 검증 없이 호출된다는 의도로 작성한 코드임에도, 포스트맨을 통해 로그인 "api/auth/login" API 호출 시 인증 관련 예외인 JwtAuthenticationEntryPoint로 넘어간다는 것을 확인할 수 있다.

 

🌱 JwtAuthenticationEntryPoint.class

@RequiredArgsConstructor
@Component
public class JwtAuthenticationEntryPoint implements AuthenticationEntryPoint {

    private final ObjectMapper objectMapper;

    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response,
        AuthenticationException authException) throws IOException {
        response.setStatus(SC_UNAUTHORIZED);
        response.setContentType(APPLICATION_JSON_VALUE);
        response.setCharacterEncoding("UTF-8");
        response.getWriter().write(objectMapper.writeValueAsString(
            ResponseData.of(INVALID_TOKEN, authException.getMessage())));
    }
}

 

 🤔 permitAll( ) 이 정확하게 뭔데?

requestMatchers(URL).permitAll(): 해당 URL에 대한 모든 사용자의 요청을 허용하는 메서드

 

여기서 모든 사용자의 요청을 허용한다는 것은 모든 필터 체인을 거친 후 인증 정보가 없거나(SecurityContext에 Authentication 인증 객체가 존재하지 않음) 필터 동작 과정 중 예외가 발생해도 해당 API 호출이 정상적으로 가능하다는 뜻이다.

 

따라서 로그인 API에 permitAll()을 적용하게 되면, SecurityContext에 인증 객체의 존재 여부와 상관없이 API 호출이 이루어진다.

 

🌱 JwtAuthenticationFilter.class   -   수정 전

@RequiredArgsConstructor
@Component
public class JwtAuthenticationFilter extends OncePerRequestFilter {

    private final TokenProvider tokenProvider;

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,
        FilterChain filterChain) throws ServletException, IOException {
        // 주목
        String accessToken = getAccessTokenFromHeader(request);
        // 
        Claims claims = tokenProvider.validateToken(accessToken);
        AccessTokenPayload accessTokenPayload = tokenProvider.createAccessTokenPayload(claims);
        Authentication authentication = tokenProvider.getAuthentication(accessTokenPayload.email(),
            accessTokenPayload.role().name());
        SecurityContextHolder.getContext().setAuthentication(authentication);
        filterChain.doFilter(request, response);
    }
    
    private String getAccessTokenFromHeader(HttpServletRequest request) {
        String bearerToken = request.getHeader(AUTHORIZATION_HEADER);
        if (StringUtils.hasText(bearerToken) && bearerToken.startsWith(TOKEN_TYPE)) {
            return bearerToken.substring(7);
        }
        throw new JwtException("Missing Token"); // 직접 JwtException을 던짐
    }

}

 

여기서 문제는 http 헤더로부터 bearer 토큰을 추출하는 getAccessTokenFromHeader 메서드에서 조건문 충족이 안되면 JwtException 예외 클래스를 직접 던지고 있다는 점이었다.

 

앞에 SecurityConfig에서 "api/auth/login"은 permitAll을 해주었기 때문에 JWT 인증 절차를 거치지 않아도 되어 Authorization 헤더가 존재하지 않는다. 따라서 위와 같이 헤더가 없는 경우 직접 Exception을 던진다면 doFilterInternal 메서드의 맨 하단에 있는 filterChain.doFilter(request, response) 호출이 되지 않고, permitAll의 적용 여부와 상관없이 ExceptionTranslationFilter로 처리가 넘어가게 된다.

 

🌱 JwtAuthenticationFilter.class   -   수정 후

@RequiredArgsConstructor
@Component
public class JwtAuthenticationFilter extends OncePerRequestFilter {

    private final TokenProvider tokenProvider;

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,
        FilterChain filterChain) throws ServletException, IOException {
        try {
            String accessToken = this.getAccessTokenFromHeader(request);
            if (accessToken == null) throw new JwtException("access token is null");

            Claims claims = tokenProvider.validateToken(accessToken);
            AccessTokenPayload accessTokenPayload = tokenProvider.createAccessTokenPayload(claims);
            Authentication authentication = tokenProvider.getAuthentication(accessTokenPayload.email(),
                accessTokenPayload.role().name());
            SecurityContextHolder.getContext().setAuthentication(authentication);
            filterChain.doFilter(request, response);
        } catch(JwtException ex) {
            logger.info("Failed to authorize/authenticate with JWT due to " + ex.getMessage());
        }
        filterChain.doFilter(request, response);
    }
    
    private String getAccessTokenFromHeader(HttpServletRequest request) {
        String bearerToken = request.getHeader(AUTHORIZATION_HEADER);
        if (StringUtils.hasText(bearerToken) && bearerToken.startsWith(TOKEN_TYPE)) {
            return bearerToken.substring(7);
        }
        return null;
    }

}

 

이를 해결하기 위해서는 JWT 인증 과정에서 Exception이 발생해도 직접 던지지 않고 try-catch 문을 통해 잡아두도록 고쳐야 한다.

이렇게 수정하면 catch 블록에서 예외가 처리되더라도 filterChain.doFilter(request, response) 메서드를 호출하여 다음 필터로 처리가 이동한다. 이후 해당 API가 permitAll()의 대상인지 여부에 따라 ExceptionTranslationFilter에서의 처리 여부가 결정된다.

 

만약 permitAll의 대상이 아니었다면 ExceptionTranslationFilter가 JwtAuthenticationFilter에서 발생한 예외를 자동으로 감지해 해당 필터로 처리가 넘어가고, permitAll의 대상이라면 컨트롤러로 사용자의 요청이 넘어갈 것이다.

 

🤔 아예 필터 체인을 생략하고 싶다면?

일반적으로는 "/docs/**", "/*.ico" 와 같이 Spring Security의 필터 체인 자체를 생략해야 할 경우 @WebSecurityCustomizer의 web.ignoring()을 사용할 수 있다. (WebSecurity는 HttpSecurity 상위에 존재하기 때문에 특정 API를 ignoring()하게 등록하면, Spring Security의 필터 체인이 적용되지 않음)

하지만 커스텀 필터(ex. JwtAuthenticationFilter)를 @Component나 @Bean 어노테이션을 사용해 등록했다면, @WebSecurityCustomizer의 web.ignoring()이 적용되지 않는다. 이런 경우, shouldNotFilter를 오버라이드하여 필터를 생략하고 싶은 경우 true 반환하도록 설정해주어야 한다.

@Override
protected boolean shouldNotFilter(HttpServletRequest request) {
    String[] excludePath = {"api/auth/**", "api/accounts/signup"};
    String path = request.getRequestURI();
    return Arrays.stream(excludePath).anyMatch(path::startsWith);
}

 

---

😅 추가적으로 개선할 점

1️⃣ permitAll의 관리 지점이 SecurityConfig와 shouldNotFilter 두 곳 존재

[Spring Security] OncePerRequestFilter.shouldNotFilter 잘 사용하기

 

2️⃣ AuthenticationException과 JWTException이 통합돼 InsufficientAuthenticationException로만 발생

[Spring Security] AuthenticationException과 JWTException 분리

 

 

 

📚 참고

Spring Security with filters permitAll not working

[Spring Security] - SecurityConfig 클래스의 permitAll() 이 적용되지 않았던 이유