Spring Security OAuth2 - API 커스터마이징

[f1v3-dev]

문제 원인

문제에 대한 자세한 내용은 이슈 #105 에 작성되어 있습니다.

요구사항

• 권한이 없는 페이지에서 접근하였을 때 로그인 페이지로 이동
• 로그인 페이지로 이동을 하면서, 이전 페이지에 대한 정보를 같이 보냄
• 로그인 성공시 이전 페이지를 다시 받아내고 싶음.

위와 같이 쿼리 파라미터 로 전달한 정보를 로그인 성공 후 리다이렉트시, 다시 전송을 원하는 상황이었습니다.

당시 상황

OAuth2 로그인 구현 방법

• Spring Security OAuth2 를 사용하여 로그인 기능을 구현
• 단순히 로그인 처리에 대한 엔드 포인트(/api/v1/auth/oauth2/kakao)를 설정

즉, baseUri 로 요청시 카카오 로그인 페이지로 리다이렉트 시키는 방식으로 작동

문제 접근

해당 요구사항에 따라 baseUri에 요청할 때 쿼리 파라미터로 넘어온 값에 대한 처리가 필요하다고 판단하였습니다.

oauth2Login에서 authorizationEndpoint 를 커스터마이징하는 방법은 없나? 라는 생각으로 설정할 수 있는 클래스를 검색

• authorizationRequestResolver : 클라이언트가 인증 요청을 할 때 해당 요청을 변환하거나 수정하는 역할
• authorizationRequestRepository : 클라이언트가 인증 요청을 보내고 나서 그 요청 정보를 저장하고 관리하는 역할
• authorizationRedirectStrategy : 인증 요청 후, OAuth2 인증 서버로 리다이렉트할 때의 전략을 정의

위 3가지는 OAuth2 인증 과정의 주요 컴포넌트로서 필요에 따라 커스터마이징이 가능합니다.

이 중, authorizationRequestResolver 를 통해 로그인 요청 엔드포인트에 클라이언트가 요청을 보낼 때 쿼리 파라미터를 파싱하고 세션에 저장하는 방식으로 접근하면 좋을 것 같아 ChatGPT 를 활용해 보았습니다.

문제 해결

• DefaultRequestResolver 의 방식대로 구현을 하되, 요청에서 redirect 쿼리 파라미터에 대한 정보만 세션에 저장
• 로그인 성공시 동작하는 OAuth2SuccessHandler 에서 세션에서 redirect 정보를 가져온 후 클라이언트에게 전달

위의 두 방식을 통해 변경된 요구사항에 맞게 커스터마이징을 진행

DeafultOAuth2AuthorizationRequestResolver 방식을 따라 기존에 환경 변수를 통해 Spring Security가 처리해주던 동작을 그대로 구현하기 위해서 사용하였습니다.

CustomAuthorizationRequestResolver.java

/**
 * OAuth 로그인 요청 리졸버 커스터마이징 클래스.
 *
 * @author 정승조
 * @version 2024. 09. 18.
 */
@Component
public class CustomAuthorizationRequestResolver implements OAuth2AuthorizationRequestResolver {

    private static final String AUTHORIZATION_REQUEST_BASE_URI = "/api/v1/auth/oauth2";
    private static final String QUERY_PARAM = "redirect";
    private final OAuth2AuthorizationRequestResolver defaultAuthorizationRequestResolver;

    public CustomAuthorizationRequestResolver(ClientRegistrationRepository clientRegistrationRepository) {
        this.defaultAuthorizationRequestResolver =
                new DefaultOAuth2AuthorizationRequestResolver(clientRegistrationRepository, AUTHORIZATION_REQUEST_BASE_URI);
    }

    @Override
    public OAuth2AuthorizationRequest resolve(HttpServletRequest request) {
        OAuth2AuthorizationRequest authorizationRequest = defaultAuthorizationRequestResolver.resolve(request);
        return customizeAuthorizationRequest(request, authorizationRequest);
    }

    @Override
    public OAuth2AuthorizationRequest resolve(HttpServletRequest request, String clientRegistrationId) {
        OAuth2AuthorizationRequest authorizationRequest = defaultAuthorizationRequestResolver.resolve(request, clientRegistrationId);
        return customizeAuthorizationRequest(request, authorizationRequest);
    }

    /**
     * 쿼리 파라미터에서 redirect 값을 추출하여 세션에 저장하는 메서드입니다.
     *
     * @param request              HttpServletRequest
     * @param authorizationRequest OAuth2AuthorizationRequest
     * @return OAuth2AuthorizationRequest
     */
    private OAuth2AuthorizationRequest customizeAuthorizationRequest(HttpServletRequest request, OAuth2AuthorizationRequest authorizationRequest) {

        if (authorizationRequest == null) {
            return null;
        }

        String redirect = request.getParameter(QUERY_PARAM);
        if (redirect != null) {
            request.getSession().setAttribute(QUERY_PARAM, redirect);
        }

        return authorizationRequest;
    }
}

OAuth2SuccessHandler.java

/**
 * OAuth 로그인 성공시 JWT 토큰(AT, RT)을 생성하고 쿠키에 저장합니다.
 *
 * @author 류태웅, 정승조
 * @version 2024. 09. 13.
 */
@Component
@RequiredArgsConstructor
public class OAuth2SuccessHandler extends SimpleUrlAuthenticationSuccessHandler {

    private static final String REFRESH_TOKEN_NAME = "refresh_token";
    private static final String QUERY_PARAM = "redirect";
    private final JjakkakProperties jjakkakProperties;
    private final JwtProvider jwtProvider;

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {

        Member oauth2User = (Member) authentication.getPrincipal();

        String kakaoId = Long.toString(oauth2User.getKakaoId());
        String refreshToken = jwtProvider.createRefreshToken(kakaoId);

        ResponseCookie refreshCookie = createCookie(REFRESH_TOKEN_NAME, refreshToken, 60 * 60 * 24 * 7);
        response.addHeader(HttpHeaders.SET_COOKIE, refreshCookie.toString());

        String redirectUrl = getRedirectUrl(request);
        response.sendRedirect(redirectUrl);
    }

    /**
     * 리다이렉트 URL 을 반환하는 메서드입니다.
     *
     * @param request HttpServletRequest
     * @return 리다이렉트 URL
     */
    public String getRedirectUrl(HttpServletRequest request) {
        String baseUrl = jjakkakProperties.getFrontUrl() + "/login/success";

        HttpSession session = request.getSession();
        String redirectParam = (String) session.getAttribute(QUERY_PARAM);
        session.removeAttribute(QUERY_PARAM);

        return (redirectParam != null)
                ? baseUrl + "?redirect=" + redirectParam
                : baseUrl;
    }

    /**
     * 쿠키를 생성하는 메서드입니다.
     *
     * @param name   쿠키 이름
     * @param value  쿠키 값
     * @param maxAge 쿠키 만료 시간
     * @return 생성된 쿠키
     */
    private ResponseCookie createCookie(String name, String value, int maxAge) {

        return ResponseCookie.from(name, value)
                .secure(true)
                .sameSite("None")
                .httpOnly(true)
                .path("/")
                .maxAge(maxAge)
                .build();
    }
}

로그인 실패시 동작하는 OAuth2FailureHandler 에서도 세션에 저장된 정보를 제거해줘야 함!

---

생각해볼 내용

• 요구사항을 만족하기 위해 Session을 사용하였지만, 로그인 페이지만 이동시킨 후 사용하지 않을 경우에 발생할 문제는 없을까?
• 다른 방식으로 처리할 수 없는지 궁금함이 남아있음