Spring security authorization (servlet)

(세번째로 spring security 를 쓰고 있다. 첫번째는 소셜로그인, 두번째는 oauth api 풀링, 세번째는 mfa)

 

Spring security 아키텍처는 앞의 필터들을 통해 Authentication 을 결정하고, 그 다음에 interceptor 에서 Authorization 을 결정한다. (Authentication 과 Authorization 이 무엇인지는 cs 를 공부해 보자.)

 

https://docs.spring.io/spring-security/reference/servlet/authorization/architecture.html

Authorization Architecture :: Spring Security

 

아키텍처에 대한 내용이 위에 나와 있다.

 

SecurityFilterChain 중에서 (일단 하나의 chain 만 있다고 하자.)

https://docs.spring.io/spring-security/reference/servlet/architecture.html#servlet-security-filters

Architecture :: Spring Security

뒤에서 두번째에 FilterSecurityInterceptor 가 있는데, 여기서 Authentication 객체를 읽고 Authorization 을 결정한다. 결정하는 객체는 AuthorizationManager 이고, 레거시에는 AccessDecisionManager 이다. (이 레거시 api 는 쓰기가 힘들다 ㅠㅠ 그래서 객체지향적으로 개선됬던게 아닐까?) 5버전 이상에서는 AuthorizationManager 를 오버라이드 해서 편하게 커스터마이징 할 수 있다.

 

AuthorizationManager 는 (함수형) 인터페이스고 구현체를 샘플로 보면 된다. 

 

AccessDecisionManager 도 인터페이스고, 샘플로 UnanimousBased, RoleVoter 등의 클래스를 보면 된다.