스프링 시큐리티로 회원가입, 로그인 구현하기

지난 번에 이어 이번엔 회원가입과 로그인이다.

회원가입

회원가입의 사용자 기능 흐름은 다음과 같다.

권한이 없는 사용자가 요청을 할 경우 로그인 페이지를 띄워야 한다. 이때 로그인 페이지에 회원가입 페이지로 이동할 수 있는 링크를 걸어둔다. 이를 통해 사용자가 회원가입 링크로 접속하여 회원가입 폼을 작성한 뒤 서버에 제출한다. 서버는 회원가입 로직을 처리한 뒤 다시 로그인 페이지로 리다이렉트하여 로그인 후 사용할 것을 유도한다.

회원가입 페이지 만들기

간단하게 브라우저에 띄울 회원가입 페이지를 구현한다. src/main/resources/templates 아래에 joinForm.html 파일을 생성한다.

HTML

<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <title>회원가입 페이지</title>
</head>
<body>
	<h1>회원가입 페이지</h1>
	<hr/>
	<form action="/join" method="POST">
		<input type="text" name="username" placeholder="Username"/> <br/>
		<input type="password" name="password" placeholder="Password"/> <br/>
		<input type="email" name="email" placeholder="Email"/> <br/>
		<button>확인</button>
	</form>
</body>
</html>

컨트롤러로 요청 받기

컨트롤러를 다음과 같이 구현하여 클라이언트 요청을 받는다.

Java

/**
 * 컨트롤러
 */

@Controller
public class IndexController {
    
	@Autowired
	private UserRepository userRepository;
	
	@Autowired
	private BCryptPasswordEncoder bCryptPasswordEncoder;

    // 회원 가입 폼 페이지 반환
	@GetMapping("/joinForm")
	public String joinForm() {
		return "joinForm";
	}
	
    // 회원 가입 폼 페이지에서 확인 버튼을 눌러 실제 데이터가 저장되는 로직 처리
	@PostMapping("/join")
	public String join(User user) {
		System.out.println(user);
		
		user.setRole("ROLE_USER");
		String rawPassword = user.getPassword();
		String encPassword = bCryptPasswordEncoder.encode(rawPassword);
		user.setPassword(encPassword);
		
		userRepository.save(user);
		return "redirect:/loginForm";
	}
}

/joinForm으로 회원가입 페이지를 요청한다. 컨트롤러는 앞서 만들어둔 joinForm.html 파일을 반환한다.

사용자가 /joinForm에서 값을 입력하고 제출하면 컨트롤러의 /join 으로 요청이 들어온다. 고마운 JPA 덕분에 User 타입의 객체로 값을 받는다.

비밀번호를 인코딩하여 저장하기 위해 BCryptPasswordEncoder 객체의 encode() 메서드를 이용한다.

DB에 저장하는 데이터 엑세스 로직을 처리하기 위해 JPA UserRepository 객체를 생성하여 save() 한다.

컨트롤러에서 회원가입 절차가 끝나면 로그인 페이지로 리다이렉트하여 로그인 후 사용을 유도한다.

SecurityConfig에 인코딩을 위한 의존성 추가

위와 같이 컨트롤러에서 비밀번호를 인코딩 하기위해 BCryptPasswordEncoder 타입의 객체를 사용했다. SecurityConfig 클래스에 인코딩을 위한 의존성을 추가한다.

/**
 * 시큐리티 설정
 */

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter{

	// 해당 메서드로 리턴되는 오브젝트를 IoC로 등록
	@Bean
	public BCryptPasswordEncoder encodePwd() {
		return new BCryptPasswordEncoder();
	}

    ...

}

비밀번호 암호화 성공~

회원가입 후 리다이렉트되어 로그인 페이지로 이동하거나 혹은 처음부터 로그인 페이지로 접속한 경우, 나아가 권한이 없는 사용자가 권한이 필요한 페이지를 요청할 경우 로그인 페이지가 띄워진다. 사용자가 로그인 폼을 작성한 뒤 제출하면 서버는 로그인 검증 로직을 처리한 뒤 인덱스 페이지로 이동하거나 아니면 사용자가 원래 접근하고자 했던 페이지로 이동한다.

로그인 페이지 만들기

간단하게 로그인 페이지를 구현한다. src/main/resources/templates 아래에 loginForm.html 파일을 생성한다.

HTML

<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <title>로그인 페이지</title>
</head>
<body>
	<h1>로긴 페이지</h1>
	<hr/>
	<form action="/login" method="POST">
		<input type="text" name="username" placeholder="Username"/> <br/>
		<input type="password" name="password" placeholder="Password"/> <br/>
		<button>확인</button>
	</form>
	<a href="/joinForm">회원가입 하러 가기</a>
</body>
</html>

컨트롤러로 요청 받기

컨트롤러를 다음과 같이 구현하여 클라이언트 요청을 받는다.

Java

/**
 * 컨트롤러
 */

@Controller
public class IndexController {
    
	@GetMapping("/loginForm")
	public String loginForm() {
		return "loginForm";
	}
}

로그인 처리 로직은 SecurityConfig 클래스의 configure() 메서드 안에서 설정할 수 있다.

따라서 컨트롤러에서 /login 요청에 대한 @PostMapping은 해주지 않아도 된다!(단, spring security 초기 값에 의하면 컨트롤러의 /login 요청은 자체 제작된 로그인 페이지로 연결된다)

시큐리티 설정에서 로그인 요청 처리

SecurityConfig 클래스에서 체이닝을 통해 로그인 폼 데이터를 처리한다.

/**
 * 시큐리티 설정
 */

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter{
    
	@Override
	protected void configure(HttpSecurity http) throws Exception {
		http.csrf().disable();
		http.authorizeRequests()
			.antMatchers("/user/**").authenticated()    // 인증만 되면 들어갈 수 있는 주소
			.antMatchers("/manager/**").access("hasRole('ROLE_ADMIN') or hasRole('ROLE_MANAGER')")
			.antMatchers("/admin/**").access("hasRole('ROLE_ADMIN')")
			.anyRequest().permitAll()
			.and()
			.formLogin()
			.loginPage("/loginForm")
			.loginProcessingUrl("/login")	  // /login 주소가 호출되면 시큐리티가 낚아채 대신 로그인 진행 -> Controller에 '/login' 만들지 않아도 됨
			.defaultSuccessUrl("/");
	}
}

.formLogin() : 로그인 폼 데이터 처리를 위해 기본적으로 /login 요청을 만들어줌

.loginPage("/loginForm") : 컨트롤러에서 정의한 로그인 폼 요청 페이지 설정

.loginProcessingUrl("/login") : 로그인 폼 데이터를 /login 요청으로 넘김

.defaultSuccessUrl("/"); : 로그인 성공 시 기본적으로 리다이렉트될 경로

로그인 검증 로직 구현하기

로그인 폼 데이터를 검증할 차례다.

Spring Security는 /login 주소 요청이 들어오면 이를 낚아채 로그인 로직을 처리한다. 로그인이 완료되면 Security Session을 생성한다.(Security ContextHolder 라는 키값에 세션 정보를 저장)

이때 Spring Security는 Security Session에 Authentication 라는 특정한 객체 타입으로 인증 정보를 저장한다.

동시에 Authentication 객체는 사용자 정보를 담을 수 있어야 하고 마찬가지로 이를 표현하는 특정 객체 타입이 있는데 이를 UserDetails라고 한다.

Security Session -> Authentication 타입 객체 가짐 -> UserDetails 타입 객체 가짐

따라서 auth 패키지 안에 PrincipalDetails 클래스를 정의한뒤 이 클래스는 UserDetails 인터페이스를 구현하도록 한다.

Java

/**
 * 로그인 반환 설정
 */

public class PrincipalDetails implements UserDetails{

	private User user;
	
    // 생성자
	public PrincipalDetails(User user) {
		this.user = user;
	}
	
	// User의 권한을 리턴
	@Override
	public Collection<? extends GrantedAuthority> getAuthorities() {
		Collection<GrantedAuthority> collect = new ArrayList<GrantedAuthority>();
		collect.add(new GrantedAuthority() {
			
			@Override
			public String getAuthority() {
				return user.getRole();
			}
		});
		return collect;
	}

    // User의 비밀번호를 리턴
	@Override
	public String getPassword() {
		return user.getPassword();
	}

    // User의 유저네임을 리턴
	@Override
	public String getUsername() {
		return user.getUsername();
	}

    // 계정 정보 만료 여부
	@Override
	public boolean isAccountNonExpired() {
		return true;
	}

    // 계정 잠금 여부
	@Override
	public boolean isAccountNonLocked() {
		return true;
	}

    // 계정 비밀번호 등 만료 여부
	@Override
	public boolean isCredentialsNonExpired() {
		return true;
	}

    // 휴면 사용자 여부
	@Override
	public boolean isEnabled() {
		// 만약 1년간 로긴 안해서 휴면 계정으로 변환될 때 이 메서드 안에서 비활성화 시킬 수 있음
		// User 오브젝트 타입에 loginDate 라는 필드 추가해서 로긴할때마다 날짜 저장해둠
		// 현재날짜 - 로긴날짜 > 1년 -> return false 로 분기해주면 됨
		return true;
	}

}

위와 같이 로그인 시 반환할 클래스를 정의했다면 실제로 로그인 서비스 로직을 구현할 차례다.

auth 패키지 안에 PrincipalDetailsService 클래스를 정의한뒤 이 클래스는 UserDetailsService 인터페이스를 구현하도록 한다. 또한 @Service 어노테이션을 잊지 말자.

/login 요청 시 자동으로 UserDetailService 타입으로 IoC 되어있는 loadUserByUsername() 메서드가 실행된다.

Java

/**
 * 로그인 로직 서비스
 */

@Service
public class PrincipalDetailsService implements UserDetailsService {

	@Autowired
	private UserRepository userRepository;
	
	// (Security Session 내부에 (Authentication 내부에 (UserDatails)))
	@Override
	public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
		User userEntity = userRepository.findByUsername(username);
		if (userEntity != null) {
			return new PrincipalDetails(userEntity);
		}
		return null;
	}

}

DB의 사용자 정보를 조회하기 위해 JPA UserRepository 객체를 생성하여 Query Method 방식으로 쿼리를 처리한다.

반환 타입은 PrincipalDetails 객체가 된다.

스프링 프로젝트를 실행하면 회원가입, 로그인까지 잘 된다. ㅎㅎ

Reference

인프런 최주호님 스프링부트 시큐리티 & JWT 강의 - 섹션 0. 스프링 시큐리티 기본

스프링 시큐리티로 회원가입, 로그인 구현하기
- 회원가입
- 로그인