인프런 커뮤니티 질문&답변

네

1. /mypage 접근할 때 인증 처리 후  인가 처리가 되어야 하는게 아닌지..

스프링 시큐리티에서는 인증 자체도 권한의 범주안에 포함됩니다.
즉 인증된 사용자 자체가 인증되었다는 권한을 가진다는 의미입니다.

그렇기 때문에 security config의 .anyRequest().authenticated() 구문은 인증된 사용자가 아니면 어떠한 자원에도 접근이 되지 않는다는 의미의 권한으로 정의 될 수 있습니다.

다만 위의 구문을 처리하는 클래스는 표현식을 처리하는  ExpressionBasedFilterInvocationSecurityMetadataSource 클래스가 담당하고 있습니다.

그런데 DB  와 연동해서 권한과 자원에 대한 제어를 하는 클래스는 사용자가 직접 구현한 UrlFilterInvocationSecurityMetadataSoruce 가 처리하도록 되어 있기 때문에  security config의 .anyRequest().authenticated() 구문을 해석할 수가 없고 또한 security config의 .anyRequest().authenticated() 구문에 대한 참조 자체를 하지도 않습니다.

그렇기 때문에 인증을 받지 않는 사용자도 UrlFilterInvocationSecurityMetadataSoruce 에서 참조하고 있지 않은 자원에 접근을 해도 통과가 되어 버립니다.

즉 인증 사용자 및 비인증 사용자 모두 DB 에서 관리하는 자원과 권한의 정책에 따라 접근여부를 결정해야 합니다.

2.  DB에서 관리하지 않는 자원이면 접속 가능한데 PermitAllFilter 가 왜 필요한지.

PermitAllFilter 는 인가 처리의 앞단에서 다음 인가 프로세스로 넘어가지 않도록 하는 목적인가요?

네 맞습니다.

PermitAllFilter 는 인가 프로세스 단계로 넘어가기 전 단계에서 권한 처리를 하는 역할을 합니다.

DB 에서 관리하지 않는 자원인데도 불구하고 인가 프로세스의 모든 과정을 거치게 되는 것이 비효율적이라 판단해서 앞 단계에서 미리 처리한다는 의미로서 PermitAllFilter 의 기능을 추가했다고 보시면 되겠습니다.

3. 정적 자원 인가

네 그렇습니다.

web.ignoring().requestMatchers(PathRequest.toStaticResources().atCommonLocations());  

은 스프링 시큐리티의 보안 Filter를 거치지 않도록 하는 설정입니다.

즉 인증 및 인가 처리에서 모두 제외되도록 내부적으로 처리가 됩니다.