Spring Security란 무엇이며 왜 사용하는가?

[jern2]

🥸

[jern2]

Spring Security

1. 정의 및 목적

Spring Security는 Spring 기반 애플리케이션에서 인증(Authentication)과 인가(Authorization)을 처리하는 보안 프레임워크입니다.
기본적으로 웹 애플리케이션의 접근 제어를 쉽고 안전하게 구현할 수 있게 도와줍니다.

⸻

2. Spring Security가 제공하는 주요 기능

기능 설명
Authentication (인증) 사용자의 신원 확인 (ex. 로그인)
Authorization (인가) 사용자가 어떤 리소스에 접근 가능한지 권한 확인
세션 관리 로그인 세션 유지, 중복 로그인 방지 등
비밀번호 암호화 BCrypt 같은 알고리즘 사용
CSRF 방어 Cross-Site Request Forgery 방지 토큰 자동 생성 및 검증
Remember-me 로그인 유지 기능
Form 기반 인증, OAuth2, JWT 다양한 인증 방식 지원

⸻

3. 왜 직접 구현하지 않고 Spring Security를 사용하는가?
   • 보안 취약점 최소화: 검증된 프레임워크이므로 직접 구현보다 안전합니다.
   • 유연한 커스터마이징: 설정을 통해 로그인 방식, 필터, 권한 제어 등을 쉽게 변경할 수 있습니다.
   • 필터 체인 기반 구조: 인증/인가 흐름이 명확하게 분리되어 유지보수가 쉽습니다.
   • 다양한 인증 방식을 하나의 시스템 안에서 통합적으로 처리할 수 있습니다.

⸻

4. 기본 작동 흐름 예시
   1. 사용자가 로그인 요청 (/login)을 보냄
   2. UsernamePasswordAuthenticationFilter가 요청을 가로채고 인증 수행
   3. 성공 시 SecurityContextHolder에 사용자 정보 저장
   4. 이후 요청마다 사용자 권한을 체크해서 접근 제어 수행

⸻

5. 예시 코드 간단히

@configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@OverRide
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/admin/**").hasRole("ADMIN") // 인가
.anyRequest().authenticated()
.and()
.formLogin() // 인증
.loginPage("/login")
.permitAll();
}
}

⸻

6. 면접에서 강조할 포인트
   • 보안 기능을 처음부터 직접 구현하지 않아도 되기 때문에 생산성 향상.
   • 설정 기반 구조로 유연성과 확장성 확보.
   • 실무에서도 거의 모든 Spring 프로젝트에서 기본 적용됨.

[jern2]

Spring Security는 Spring 기반 애플리케이션에 보안 기능을 제공하는 프레임워크입니다.
주로 인증(Authentication)과 인가(Authorization)을 처리하며, 세션 관리, 로그인/로그아웃, 권한 제어, CSRF 방어, 비밀번호 암호화 같은 기능을 지원합니다.
복잡한 보안 로직을 직접 구현할 필요 없이, 설정만으로 강력한 보안 기능을 적용할 수 있어 웹 애플리케이션에서 매우 유용합니다.