Spring Security, SecurityContextHolder 사용법

SecurityContextHolder는 Spring Security에서 사용자의 인증 및 권한 정보를 저장하고 사용하는 데 사용되는 클래스입니다. 기본적으로 SecurityContextHolder는 ThreadLocal에 저장된다. 이를 사용하면 현재 인증된 사용자의 정보를 얻을 수 있습니다.

아래는 SecurityContextHolder를 사용하는 방법에 대한 예입니다:

현재 인증된 사용자의 Authentication 객체 가져오기:

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();

현재 인증된 사용자의 사용자 이름 가져오기:

String username = SecurityContextHolder.getContext().getAuthentication().getName();

현재 인증된 사용자의 권한 가져오기:

Collection<? extends GrantedAuthority> authorities = SecurityContextHolder.getContext().getAuthentication().getAuthorities();

SecurityContextHolder에 인증 정보 설정하기:

Authentication authentication = new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities());
SecurityContextHolder.getContext().setAuthentication(authentication);

이 예제에서 userDetails는 UserDetails 인터페이스를 구현한 객체이며, 일반적으로 UserDetailsService를 통해 로드됩니다. 인증 과정이 완료되면, SecurityContextHolder에 인증 정보를 설정하여 인증된 사용자의 정보를 사용할 수 있게 됩니다.

SecurityContextHolder는 Spring Security에서 사용자의 인증 및 권한 정보를 저장하고 사용하는 중심적인 역할을 하므로, Spring Security를 사용할 때 이를 이해하고 적절하게 사용하는 것이 중요합니다.

 

특정 권한이 있는지 확인하기:

boolean hasRole = authentication.getAuthorities().stream().anyMatch(authority -> authority.getAuthority().equals("ROLE_ADMIN"));

이 코드는 현재 인증된 사용자가 "ROLE_ADMIN"이라는 권한이 있는지 확인합니다. 필요한 경우 이를 사용하여 특정 로직이 특정 권한을 가진 사용자에게만 실행되도록 할 수 있습니다.

프로그래밍 방식으로 인증 요청 처리하기:
Spring Security에서는 SecurityContextHolder를 사용하여 현재 요청을 처리하는 사용자의 인증 상태를 확인할 수 있지만, 프로그래밍 방식으로 직접 인증을 처리하려면 AuthenticationManager를 사용해야 합니다.

@Autowired
private AuthenticationManager authenticationManager;

public void authenticateUser(String username, String password) {
    Authentication authentication = authenticationManager.authenticate(new UsernamePasswordAuthenticationToken(username, password));
    SecurityContextHolder.getContext().setAuthentication(authentication);
}

이 코드는 주어진 사용자 이름과 비밀번호로 인증을 시도하고, 성공한 경우 인증 정보를 SecurityContextHolder에 설정합니다.

로그아웃 처리하기:
로그아웃을 처리하려면 SecurityContextHolder에서 인증 정보를 제거해야 합니다.

public void logout() {
    SecurityContextHolder.getContext().setAuthentication(null);
}

이러한 방법을 사용하여 SecurityContextHolder를 통해 현재 인증된 사용자와 관련된 작업을 수행할 수 있습니다. 이를 통해 사용자의 인증 상태와 권한을 검사하거나 변경할 수 있으며, 로그인 및 로그아웃 과정을 프로그래밍 방식으로 처리할 수 있습니다. 이러한 기능은 Spring Security에서 제공하는 기능을 최대한 활용하려면 필수적으로 알아야 할 것입니다.