작성한 질문수 18

2

네

토큰에 들어가는 유저객체는 타입으로 생성된 객체를 저장합니다.

Account 는 JPA 엔터티로서 UserDetails 타입으로 구현되기에는 적절치 않습니다.

그래서 일반 POJO 객체로 AccountContext 를 생성하고 여기에 Account 저장하는 식으로 구현한거라 보시면 됩니다.

다만 AccountContext 를 저장하느냐 아니면 Account 를 저장하느냐 문제는 특별한 이유가 있는 것은 아닙니다.

나중에 토큰에서 유저 객체를 참조할 때 더 효율적인 방식대로 저장하면 됩니다.

그리고 credential 에 null 을 준것은 보안상 그렇게 처리한 거라 보는데 이것 또한 토큰에서 패스워드를 반드시 참조해야 할 상황이 생긴다면 저장하는 것이 맞겠지만 보통 Account 에도 패스워드가 저장되어 있기 때문에 토큰에는 null 을 주어도 크게 문제 없을 것 같습니다.

0

저는 TokenBasedRememberMeServices 를 커스터마이징하여 아래와 같이 구현하였습니다.

SecurityConfig.java

...
@Override
protected void configure(HttpSecurity http) throws Exception {
  http..authorizeRequests()
  ....
  .and()
  .rememberMe()
  .rememberMeServices(tokenBasedRememberMeServices());
}

@Bean
public CustomTokenBasedRememberMeServices tokenBasedRememberMeServices() {
   CustomTokenBasedRememberMeServices rememberMeServices = new CustomTokenBasedRememberMeServices("rememberMeKey", customUserDetailsService);
    rememberMeServices.setParameter("rememberMe");
    rememberMeServices.setCookieName("REMEMBER_ME");
    rememberMeServices.setTokenValiditySeconds(36000);
    return rememberMeServices;
  }
...

CustomTokenBasedRememberMeService.java

public class CustomTokenBasedRememberMeServices extends AbstractRememberMeServices {
  public CustomTokenBasedRememberMeServices(String key, UserDetailsService userDetailsService) {
    super(key, userDetailsService);
  }
...
  // 커스터마이징
  @Override
  public void onLoginSuccess(HttpServletRequest request, HttpServletResponse response,
      Authentication successfulAuthentication) {

    AccountDto accountDto = (AccountDto)successfulAuthentication.getPrincipal();

    String username = retrieveUserName(accountDto);
    String password = retrievePassword(accountDto);

    // If unable to find a username and password, just abort as
    // TokenBasedRememberMeServices is
    // unable to construct a valid token in this case.
    if (!StringUtils.hasLength(username)) {
      this.logger.debug("Unable to retrieve username");
      return;
    }
    if (!StringUtils.hasLength(password)) {
      UserDetails user = getUserDetailsService().loadUserByUsername(username);
      password = user.getPassword();
      if (!StringUtils.hasLength(password)) {
        this.logger.debug("Unable to obtain password for user: " + username);
        return;
      }
    }
    int tokenLifetime = calculateLoginLifetime(request, successfulAuthentication);
    long expiryTime = System.currentTimeMillis();
    // SEC-949
    expiryTime += 1000L * ((tokenLifetime < 0) ? TWO_WEEKS_S : tokenLifetime);
    String signatureValue = makeTokenSignature(expiryTime, username, password);
    setCookie(new String[] { username, Long.toString(expiryTime), signatureValue }, tokenLifetime, request,
        response);
    if (this.logger.isDebugEnabled()) {
      this.logger.debug(
          "Added remember-me cookie for user '" + username + "', expiry: '" + new Date(expiryTime) + "'");
    }
  }
...
  // 커스터마이징
  protected String retrieveUserName(AccountDto accountDto) {
    if (isInstanceOfUserDetails(accountDto)) {
      return accountDto.getUserId();
    }
    return accountDto.getUserId().toString();
  }

  // 커스터마이징
  protected String retrievePassword(AccountDto accountDto) {
    if (isInstanceOfUserDetails(accountDto)) {
      return accountDto.getUserPw();
    }
    if (accountDto.getUserPw() != null) {
      return accountDto.getUserPw().toString();
    }
    return null;
  }

  // 커스터마이징
  private boolean isInstanceOfUserDetails(AccountDto accountDto) {
    return accountDto instanceof AccountDto;
  }
...
}

FormAuthenticationProvider.java

public class FormAuthenticationProvider implements AuthenticationProvider {
  @Autowired
  private CustomUserDetailsService customUserDetailsService;
  @Autowired
  private PasswordEncoder passwordEncoder;
  @Override
  public Authentication authenticate(Authentication authentication) throws AuthenticationException {

    // 사용자 입력 로그인 정보
    String userId = authentication.getName();
    String userPw = (String) authentication.getCredentials();

    // DB에 저장된 로그인 정보
    AccountContext accountContext = (AccountContext) customUserDetailsService.loadUserByUsername(userId);

    // 패스워드 검증
    if (!passwordEncoder.matches(userPw, accountContext.getAccountDto().getUserPw())) {
      throw new BadCredentialsException("BadCredentialsException");
    }

    // 추가 검증
    FormWebAuthenticationDetails formWebAuthenticationDetails = (FormWebAuthenticationDetails) authentication.getDetails();
    String secretKey = formWebAuthenticationDetails.getSecretKey();
    if (secretKey == null || !"secret".equals(secretKey)) {
      throw new InsufficientAuthenticationException("Invalid SecretKey");
    }

    // 인증에 성공한 인증객체 리턴
    UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(accountContext.getAccountDto(), accountContext.getPassword(), accountContext.getAuthorities());

    return authenticationToken;
  }

  @Override
  public boolean supports(Class<?> authentication) {

    return UsernamePasswordAuthenticationToken.class.isAssignableFrom(authentication);
  }


}