[Spring Security] Spring Security의 FilterChain 구조 완벽 이해

스프링 시큐리티 로고

 

안녕하세요! 😊

오늘은 Spring Security의 핵심 개념 중 하나인 FilterChain 구조에 대해 알아보겠습니다.

FilterChain은 애플리케이션 요청을 처리하는 보안 필터들의 흐름을 제어하며,

Spring Security를 이해하는 데 중요한 역할을 합니다.

이번 글에서는 개념부터 구체적인 예제까지 탄탄하게 설명드리겠습니다!

1. FilterChain이란 무엇인가요?

FilterChain은 HTTP 요청이 애플리케이션으로 들어오기 전에 여러 보안 필터를 거치게 만드는 구조입니다.

각 필터는 요청을 검사하고, 필요할 경우 추가 작업을 수행하거나 요청을 차단할 수 있습니다.

FilterChain의 역할

• 요청 검증: 인증 및 권한을 확인합니다.
• 보안 기능 제공: CSRF, CORS, 세션 관리 등 다양한 보안 기능을 처리합니다.
• 요청 처리 흐름 제어: 필터 간의 순서를 제어하여 요청이 적절히 처리되도록 합니다.

2. Spring Security에서 FilterChain 작동 방식

Spring Security는 기본적으로 여러 개의 보안 필터를 제공하며, 요청이 처리되는 흐름은 다음과 같습니다:

1. 클라이언트가 서버로 HTTP 요청을 보냅니다.
2. 요청이 FilterChainProxy로 전달됩니다.
3. FilterChainProxy는 등록된 필터들을 순차적으로 호출합니다.
4. 각 필터는 요청을 검증하거나 변경한 뒤 다음 필터로 전달합니다.
5. 모든 필터를 통과하면 요청이 컨트롤러로 전달됩니다.

Spring Security 기본 필터 목록

Spring Security가 제공하는 기본 필터 중 일부는 다음과 같습니다:

필터 이름	설명
SecurityContextPersistenceFilter	SecurityContext를 저장하고 복원합니다.
UsernamePasswordAuthenticationFilter	기본 폼 기반 로그인 요청을 처리합니다.
ExceptionTranslationFilter	인증 또는 권한 에러를 처리합니다.
FilterSecurityInterceptor	최종적으로 요청에 대한 접근 권한을 확인합니다.

예제: FilterChain 흐름 디버깅

아래는 요청이 FilterChain을 거치며 로그를 출력하는 간단한 디버깅 방법입니다:

import org.springframework.web.filter.OncePerRequestFilter;
import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class DebugFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
            throws ServletException, IOException {
        System.out.println("Request URI: " + request.getRequestURI());
        filterChain.doFilter(request, response);
    }
}

이 필터는 요청 URI를 출력하여 필터 흐름을 추적하는 데 유용합니다.

3. 커스텀 필터 추가하기

Spring Security에서는 커스텀 필터를 추가하여 원하는 보안 로직을 구현할 수 있습니다.

아래는 사용자의 요청 헤더를 검사하는 커스텀 필터의 예제입니다:

import org.springframework.web.filter.OncePerRequestFilter;
import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class CustomHeaderFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
            throws ServletException, IOException {
        String header = request.getHeader("X-Custom-Header");
        if (header == null || !header.equals("expected-value")) {
            response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Invalid Header");
            return;
        }
        filterChain.doFilter(request, response);
    }
}

필터 등록 방법

import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.addFilterBefore(new CustomHeaderFilter(), UsernamePasswordAuthenticationFilter.class);
    }
}

위 코드는 커스텀 필터를 Spring Security의 기존 필터 체인에 등록하는 방법을 보여줍니다.

4. FilterChain의 한계와 고려사항

FilterChain을 사용할 때 주의해야 할 점은 다음과 같습니다:

• 필터 순서: 필터의 실행 순서를 잘못 설정하면 예상치 못한 동작이 발생할 수 있습니다.
• 퍼포먼스: 너무 많은 필터를 추가하면 요청 처리 시간이 길어질 수 있습니다.
• 에러 처리: 모든 에러 시나리오를 적절히 처리해야 시스템 안정성을 유지할 수 있습니다.

실제 프로젝트에서의 최적화 팁

• 자주 사용하지 않는 필터는 비활성화하거나 조건부로 추가합니다.
• 필터의 로직은 가능한 한 가볍게 작성하여 요청 지연을 최소화합니다.
• 필터에 로깅 기능을 추가하여 디버깅과 모니터링을 쉽게 만듭니다.

5. 마무리

Spring Security의 FilterChain 구조는 애플리케이션의 보안을 강화하는 데 중요한 역할을 합니다.

이번 글에서는 FilterChain의 기본 개념부터 커스텀 필터 구현 방법까지 살펴보았습니다.

이 글이 Spring Security를 이해하고 활용하는 데 도움이 되었길 바랍니다! 😊

추가 질문이 있다면 댓글로 남겨주세요.

다음에도 유익한 내용을 준비하겠습니다! 🚀