Spring Security는 어떤 역할을 하며, 왜 사용하는가요?

[jern2]

🤠

[jern2]

1. Spring Security란?

Spring Security는 스프링 기반 애플리케이션에서 보안을 처리해주는 프레임워크이다.

주로 처리하는 보안 기능:

기능	설명
인증 (Authentication)	"당신이 누구인지 확인하는 절차" → 로그인
인가 (Authorization)	"당신이 이 기능을 사용할 권한이 있는지 확인" → 권한 체크
비밀번호 암호화	평문 대신 해시된 암호 저장 (BCrypt)
세션 관리	로그인 상태 유지, 로그아웃 처리
접근 제한	URL, 메서드, 리소스 등 접근 제어
Remember-Me	쿠키 기반 자동 로그인
CSRF 방어	요청 위조 공격 방지

---

2. 왜 사용하는가?

🙅 직접 구현하면?

• 로그인 기능 하나 구현하려면:

  • 로그인 폼 처리, 세션 관리, 비밀번호 암호화, 실패 처리 등 10단계 이상 작업

• 직접 구현할 경우 보안 구멍이 생길 확률도 높고 유지보수도 어렵습니다.

Spring Security의 장점

• 검증된 표준 방식으로 로그인/보안 처리

• 설정만 하면 대부분 자동 작동

• 세세한 커스터마이징도 가능

• 스프링 생태계와 완벽하게 통합됨

---

3. Spring Security 인증 흐름 (전체 그림)

[1] 사용자가 /login 요청 (아이디+비번)
   ⇓
[2] Security Filter Chain이 요청 가로챔
   ⇓
[3] UsernamePasswordAuthenticationFilter가 인증 시도
   ⇓
[4] AuthenticationManager가 Authentication 객체를 검증
   ⇓
[5] UserDetailsService가 DB에서 사용자 정보 조회
   ⇓
[6] PasswordEncoder로 비밀번호 일치 확인
   ⇓
[7] 인증 성공 → SecurityContextHolder에 인증 정보 저장
   ⇓
[8] 이후 요청에서 사용자의 권한/인증 여부 자동 체크

위 흐름은 설정을 하지 않아도 Spring Security가 내부적으로 자동 처리합니다.
개발자는 필요한 부분만 설정/오버라이드 하면 됩니다.

---

4. 실전 적용 예시

@Configuration
@EnableWebSecurity
public class SecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/admin/**").hasRole("ADMIN")
            .anyRequest().permitAll()
        )
        .formLogin(withDefaults())  // 기본 로그인 폼 사용
        .logout(withDefaults())
        .build();
}

}

이 설정만 있으면:

• /admin/** 경로는 로그인한 관리자만 접근 가능

• 나머지 요청은 로그인 없이 가능

• 로그인, 로그아웃, 세션 처리, 쿠키 처리, 실패 응답 등 모두 자동

정리 한 줄 요약

Spring Security는 "로그인/권한/세션 등 보안 처리"를 자동화하고,
개발자는 필요한 부분만 설정해서 안전하고 효율적인 인증 시스템을 만들 수 있게 해주는 프레임워크입니다.

[jern2]

면접 답변

Spring Security는 스프링 기반 웹 애플리케이션에서 **인증(Authentication)**과 **인가(Authorization)**를 처리하기 위한 보안 프레임워크입니다.
로그인, 권한 체크, 세션 관리, 비밀번호 암호화 같은 기능을 개발자가 직접 구현하지 않아도,
검증된 방식으로 자동 처리해줍니다.

내부적으로는 사용자가 로그인하면, Security Filter Chain이 요청을 가로채고,
AuthenticationManager가 인증 객체를 검증하며,
UserDetailsService를 통해 사용자 정보를 불러와 비밀번호를 체크합니다.
인증이 성공하면 SecurityContextHolder에 인증 정보를 저장해 이후 요청에 사용됩니다.

저는 이 구조를 이해한 뒤, 필요한 경우에만 커스터마이징을 하고 기본 설정은 최대한 활용하는 방식으로 적용해왔습니다.
Spring Security를 도입하면 보안 품질은 높이고 개발 비용은 줄일 수 있어 실무에서 거의 필수적으로 사용된다고 생각합니다.