인프런 커뮤니티 질문&답변

1 의문 ................................................

강의 내용중에서

oauth2Login(Customizer.withDefaults())

없이

oauth2Client(Customizer.withDefaults())

만 사용한 경우에는 인가 처리만 하기 때문에 따로 인증 처리를 해주는 과정을 보여주셨는데

2 배경지식 ................................................
oauth2Client 와 oauth2Login 의 차이는
1단계 처리 필터 : OAuth2AuthorizationRequestRedirectFilter 로 동일

2단계 를 처리필터: OAuth2LoginAuthenticationFilter 대신 여기선 OAuth2AuthorizationCodeGrantFilter 사용

 즉

OAuth2LoginAuthenticationFilter 를 거치지않아

OAuth2LoginAuthenticationFilter에서 사용하는

OidcAuthorizationCodeAuthenticationProvider에서

IdToken 을 추출해

OidcIdToken를 만들고 OidcUser 를 로드하는 부분의 유무가 핵심적인 차이라고 생각이드는데요

그리고 OAuth2User는 인가 개념만 있지 인증 개념은 없다고 들었습니다

 3 질문 .......................................................

단순히 OAuth2User를 만들어 OAuth2AuthenticationToken을 SecurityContextHolder에 수동 저장한다고 해서 "인증된 사용자"로 간주되는 않아서

로그아웃도 제대로 동작하지 않습니다 .

물론 스프링 시큐리티 자체에서 세션,쿠키,SecurityContextHolder에 강제로 저장한 Authentication 없애기를 통해 일부는 처리는 되지만

질문1 : keycloak 에서의 실제 세션은 로그아웃을 못하지않나요 ?

@GetMapping("/logout")
public String logout( HttpServletRequest request, HttpServletResponse response){


    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();

    // 로그아웃 처리
    SecurityContextLogoutHandler logoutHandler = new SecurityContextLogoutHandler();
    logoutHandler.logout(request, response, authentication);

    // 로그아웃 요청을 위한 Keycloak 로그아웃 URL
    String logoutUrl = "http://localhost:8080/realms/oauth2/protocol/openid-connect/logout";

    // 로그아웃 후 리디렉션할 URI
    String redirectUri = "http://localhost:8081/login";  // 로그아웃 후 돌아올 URL

     // 실제 ID Token을 가져오는 코드

    // 로그아웃 URL에 필요한 파라미터들을 추가
    String logoutRequestUrl = logoutUrl + "?id_token_hint=" + idTokenHint + "&post_logout_redirect_uri=" + redirectUri;

    // 로그아웃 요청을 Keycloak으로 리디렉션
    return "redirect:" + logoutRequestUrl;
}

이런식으로 강제로 형식 만들려고 해도 mvc 에서 id_token을 참조할 수 있는 방법이없습니다 .

디버깅으로 확인해보니

scope 에 openId 를 추가해서 id_token이 있을거라고 생각했는데
OAuth2AuthorizationCodeGrantFilter의 OAuth2AuthorizationCodeGrantFilter에서
authenticationResult 에
additionalParameters = {HashMap@7785} size = 4

"id_token" -> "ㅁㄴㅇㄹㄴㅇㅁㄻㄴㅇㅁㄴㅇㄹ"

"session_state" -> "7a3b7dbb-ec62-4a07-8ef8-f67b17b2f3ac"

"refresh_expires_in" -> {Integer@7818} 1800

"not-before-policy" -> {Integer@7820} 1746349855
이런식으로 있긴하지만 사용하지않고 authenticationResult로부터
authenticationResult.getClientRegistration() 추출해서 OAuth2AuthorizedClient 만들어서 저장하고 끝내내요

private void processAuthorizationResponse(HttpServletRequest request, HttpServletResponse response) throws IOException {
    OAuth2AuthorizationRequest authorizationRequest = this.authorizationRequestRepository.removeAuthorizationRequest(request, response);
    String registrationId = (String)authorizationRequest.getAttribute("registration_id");
    ClientRegistration clientRegistration = this.clientRegistrationRepository.findByRegistrationId(registrationId);
    MultiValueMap<String, String> params = OAuth2AuthorizationResponseUtils.toMultiMap(request.getParameterMap());
    String redirectUri = UrlUtils.buildFullRequestUrl(request);
    OAuth2AuthorizationResponse authorizationResponse = OAuth2AuthorizationResponseUtils.convert(params, redirectUri);
    OAuth2AuthorizationCodeAuthenticationToken authenticationRequest = new OAuth2AuthorizationCodeAuthenticationToken(clientRegistration, new OAuth2AuthorizationExchange(authorizationRequest, authorizationResponse));
    authenticationRequest.setDetails(this.authenticationDetailsSource.buildDetails(request));

    OAuth2AuthorizationCodeAuthenticationToken authenticationResult;
    try {
        authenticationResult = (OAuth2AuthorizationCodeAuthenticationToken)this.authenticationManager.authenticate(authenticationRequest);
    } catch (OAuth2AuthorizationException var16) {
        OAuth2AuthorizationException ex = var16;
        OAuth2Error error = ex.getError();
        UriComponentsBuilder uriBuilder = UriComponentsBuilder.fromUriString(authorizationRequest.getRedirectUri()).queryParam("error", new Object[]{error.getErrorCode()});
        if (StringUtils.hasLength(error.getDescription())) {
            uriBuilder.queryParam("error_description", new Object[]{error.getDescription()});
        }

        if (StringUtils.hasLength(error.getUri())) {
            uriBuilder.queryParam("error_uri", new Object[]{error.getUri()});
        }

        this.redirectStrategy.sendRedirect(request, response, uriBuilder.build().encode().toString());
        return;
    }

    Authentication currentAuthentication = this.securityContextHolderStrategy.getContext().getAuthentication();
    String principalName = currentAuthentication != null ? currentAuthentication.getName() : "anonymousUser";
    OAuth2AuthorizedClient authorizedClient = new OAuth2AuthorizedClient(authenticationResult.getClientRegistration(), principalName, authenticationResult.getAccessToken(), authenticationResult.getRefreshToken());
    this.authorizedClientRepository.saveAuthorizedClient(authorizedClient, currentAuthentication, request, response);
    String redirectUrl = authorizationRequest.getRedirectUri();
    SavedRequest savedRequest = this.requestCache.getRequest(request, response);
    if (savedRequest != null) {
        redirectUrl = savedRequest.getRedirectUrl();
        this.requestCache.removeRequest(request, response);
    }

    this.redirectStrategy.sendRedirect(request, response, redirectUrl);
}

질문 2 :

강의(OAuth2AuthorizedClient 이해 및 활용)에서는

OAuth2User를 만들어 OAuth2AuthenticationToken 을 저장하는 식으로 처리하셨는데 수업을 듣다 보니 이렇게 처리한 이유가 궁금해 질문 드립니다 .