[FIX] 인증/인가 개선 및 리팩토링

[Kim-TaeUk]

Related Issue

• fix/[FIX] 인증/인가 개선 및 리팩토링 #318 -> dev
• close [FIX] 인증/인가 개선 및 리팩토링 #318

Key Changes

1. 인증 사용자 조회 및 검증
   AS-IS)
   Controller 단에서 Principal.getName()을 통해 userId 문자열을 얻고 Long 타입으로 캐스팅,
   추출한 userId로 userService.getUserOrException 호출하는 로직이 Controller에서 중복 발생
   TO-BE)
   Spring Security에서 제공하는 @AuthenticationPrincipal 사용,
   CustomArgumentResolver를 통해 인증 사용자 정보 주입,
   Resolver에서 사용자 검증이라는 관심사를 전담 및 일관된 처리

2. 리소스 존재 여부 검증 및 리소스 접근 제어
   AS-IS)
   요청에 해당하는 리소스 존재 여부 검증을 위해 findById().orElseThrow()를 Service 단에서 반복 호출,
   숨김 혹은 차단 리소스 접근 가능 여부 검증을 위해 반복되는 로직 발생
   TO-BE)
   AuthorizationValidator나 AccessValidator에서 수행하여 관심사 분리,
   Validator.canAcces로 일관된 처리

3. 리소스 조작 가능 여부 검증
   AS-IS)
   Service 단에서 리소스 조작 가능 여부를 직접 확인
   TO-BE)
   @PreAuthorize + AuthorizationService.validate로 위임
   AuthorizationService.validate -> ResourceAuthorizationHandler -> XXXAuthorizationValidator

전체 인증 인가 플로우

1. Client -> Server: 요청 전송
2. Server.Servlet Container 요청 수신
3. JwtAuthenticationFilter
   • JWT 유효성 검증
   • 유효한 경우 userId를 담은 CustomAuthenticationToken 생성 후, SecurityContextHolder에 저장
4. DispatcherServlet -> Controller 전달
5. CustomArgumentResolver
   • SecurityContext의 인증 객체에서 userId 추출
   • UserService.getUserOrException을 통해 유저 존재 여부 확인
     • 존재O: @AuthenticationPrincipal User에 바인딩
     • 존재X: 404 에러 응답
6. @PreAuthorize
   • isAuthenticated(): 인증된 사용자만 접근 허용
   • AuthorizationService.validate: 리소스 존재 여부&조작 가능 여부 확인
   • AccessValidator.canAccess: 리소스 존재 여부&접근 가능 여부 확인
7. 검증 모두 통과 시, Controller -> Service 호출: 비즈니스 로직만 수행
   • JWT 유효성 검증
   • User 존재 여부 검증
   • 리소스 존재 여부 검증
   • 리소스 접근 가능 여부 검증
   • 리소스 조작 가능 여부 검증

To Reviewers

볼륨이 좀 크네요..! 죄송합니다 ㅎㅎ,,

References

[sansan20535]

리뷰 남기면서 많이 배웠습니다! 감사합니다 : )

[rinarina0429]

우기온앤온 이렇게나 큰 pr을 . . .
수고하셨습니다 이전 Controller보다 훨씬 깔끔하네요! 더 나은 방식이 있을지는 같이 더 찾아봐요 ~
커멘트 한번씩만 확인 부탁드립니다아

[GiJungPark]

빠른 피드백 반영 확인했습니다. :)