마지막에 AuthenticationManager에게 다시 인증처리를 맡기는 이유가 무엇인가요?

작성한 질문수 54

1

네 

그건 인증처리에 있어 좀 더 보안적으로 안전한 단계를 두기 위한 의미라 보시면 됩니다

AuthenticationManager 가 RememberMeAuthenticationProvider 를 호출하게 되면 아래와 같은 구문이 실행됩니다.

@Override
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
   if (!supports(authentication.getClass())) {
      return null;
   }
   if (this.key.hashCode() != ((RememberMeAuthenticationToken) authentication).getKeyHash()) {
      throw new BadCredentialsException(this.messages.getMessage("RememberMeAuthenticationProvider.incorrectKey",
            "The presented RememberMeAuthenticationToken does not contain the expected key"));
   }
   return authentication;
}

위 구문을 보시면 key.hashCode 를 비교하면서 올바른 키인지를 검증하고 있습니다.

RememberMeAuthenticationToken 은 인증에 성공하게 되면 key 를 저장하게 됩니다.  그리고 RememberMeAuthenticationProvider 가 가지고 있는 key는 초기화시 설정하게 되는 key 입니다.

둘 다 모두 같은 값을 가지고 있어야 합니다.

그리고 이 key 는 remember-me 토큰 해시값으로 생성 및 서명할 때 사용되는 키입니다.

그래서 토큰에 대한 모든 검증이 성공적으로 완료되고 인증객체가 생성된 이후에 인증객체에 있는 키 값과 프로바이더에 있는 키값이 일치하는지 마지막으로 검증단계를 거치기 위함이라 보시면 됩니다.

그리고  RememberMeServices 인터페이스를 커스텀하게 자체 기능을 구현할 수 있기 때문에 이 때에도 위와 같은 인증단계의 규칙을 거치게 함으로서 상호간 key 가 일치하지는 여부를 체크하기 위함이기도 합니다.