• 스프링 컨테이너 내 시큐리티 로직 → 시큐리티 필터 (filterChain)
  • 여러개도 등록이 가능하다.

각각의 필터에서 CSRF, 로그아웃, 로그인, 인가, 등 여러 작업을 수행한다.

2. 전반적인 동작 원리

• DelegatingFilterProxy
  • 스프링 빈을 찾아 요청을 넘겨주는 서블릿 필터
  • was의 필터 단에서 특정 필터를 추가하여 스프링 컨테이너로 요청을 가로채는 필터.
• FilterChainProxy
  • 가로채서 오는 목적지임.
  • 스프링 시큐리티 의존성을 추가하면 d.g.p의 목적지임
• SecurityFilterChain
  • 내부의 인증, 인가 등등을 실행하는 여러 필터들의 묶음
  • securityFilter체인들중에서 특정한 체인한테 넘겨줘서 실제 시큐리티 로직이 처리되도록 진행된다.

3. DelegatingFilterProxy, FilterChainProxy

• delegatingFilterProxy → 클라이언트의 요청을 가로 채서 FilterChainProxy에게 전달해줄 수 있다.

• FilterChainPRoxy: springSecurityFilterChain이라는 빈으로 등록되어있음.

  • delegatingFilterProxy가 요청을 가로채서 filterChainProxy에게 전달한다.
  • 내부적으로 등록되어있는 filterChain들을 list up 해서 본인이 들고있는다. 그 중에서 요청에 알맞은 체인들을 판단해서 반환한다.

• getFilters → 필터들을 확인가능하다.

4. SecurityFilterChain 등록

• securityFilterChain내부에는 여러개의 filter가 들어있는데, 이는 각각 로그인, 로그아웃, 인가작업, csrf방어와 같은 작업의 시큐리티 작업을 수행하게 된다.

• filterchain을 직접 등록하는 방법

  • 스프링 시큐리티 의존성을 추가하면 기본적인DefaultSecurityFilterChain 하나가 등록된다.

  • 내가 원하는 SecurityFilterChain을 등록하기 위해서는 SecurityFilterChain을 리턴하는 @Bean 메소드를 등록하면 된다.

  • @Configuration, @EnableWebSecurity 애노테이션 작성

  • 커스텀 SecurityFilterChain 등록 방법

    • 로그아웃만 동작, 다른 것 하나 더 등록해서 그것은 로그인만 수행하도록 등록할 수 있음 → 두 개 이상 등록

  @Configuration
  @EnableWebSecurity
  public class SecurityConfig {
      
      @Bean
      public SecurityFilterChain filterChain1(HttpSecurity http) throws Exception{
          
          return http.build();
      }
  }
  

  @Configuration
  @EnableWebSecurity
  public class SecurityConfig {
  
      @Bean
      public SecurityFilterChain filterChain1(HttpSecurity http) throws Exception{
  
          return http.build();
      }
  
      @Bean
      public SecurityFilterChain filterChain2(HttpSecurity http) throws Exception {
  
          return http.build();
      }
  }
  

• filter등록 후, filterChainProxy에서 등록을 확인한다.