가자공부하러!

주은 마그넷 후보 - 황금산 민주은

오피스엑소더스 — Thu, 4 Jun 2026 23:56:02 +0900

황금산 민주은

주은콘 202506 ~ 202603(2) - 황금산 민주은

오피스엑소더스 — Thu, 4 Jun 2026 23:54:40 +0900

황금산 민주은!

주은콘 202506 ~ 202603 - 황금산 민주은

오피스엑소더스 — Thu, 4 Jun 2026 23:53:45 +0900

황금산 민주은

redis cli에서 spring session 정보 확인하기

오피스엑소더스 — Thu, 4 Nov 2021 14:32:12 +0900

redis cli 시작

// redis-cli 접근
// redis가 설치된 곳에서
$ redis-cli
// 다른 host에 접근
$ redis-cli -h {host}

키 확인

// 모든 키 목록
{host}:{port}> keys *

// 특정 키 검색
{host}:{port}> keys {key}
{host}:{port}> keys {*key} // like 검색
{host}:{port}> keys {key*} // like 검색

// 키의 타입 확인
{host}:{port}> type {key}

// spring session key 예시
// 해당 세션에 저장된 데이터들
// type : hash
spring:session:sessions:{sessionId}

// 해당 세션의 만료 키로 사용
// type : string
spring:session:sessions:expires:{sessionId}	

// expire time에 삭제될 세션 정보들 포함
// type : set
spring:session:expirations:{expireTime}

키에 담긴 정보 확인

// string
{host}:{port}> get {key}

// hash
{host}:{port}> hgetall {key}

// sets
{host}:{port}> smembers {key}

키 만료시간 확인

// spring:session:sessions:expires:{sessionId}의 만료까지 남은시간을 알 수 있다.
{host}:{port}> ttl {key}

\x__ 친구들의 정체...?

JdkSerializationRedisSerializer에 의해 직렬화된 byte code

이 내용 읽고싶으면 json으로 직렬화하세요!

\xac\xed\x00\x05sr\x00\x0e

네이버 파이낸셜 코테(2021-08-28)

오피스엑소더스 — Sun, 29 Aug 2021 17:55:10 +0900

// 워드 머신은 정수 스택에 대해 일련의 간단한 작업을 수행하는 시스템입니다.
// 처음에는 스택이 비어 있습니다.
// 작업 순서는 문자열로 제공됩니다. 작업은 단일 공백으로 구분됩니다.
// 아래는 예시입니다. 다음 작업을 지정할 수 있습니다.
//  - 정수 X(0~ 2^20-1) : 머신은 X를 스택에 저장합니다.
//  - POP : 머신은 스택의 최신값을 제거합니다.
//  - DUP : 머신은 스택의 최신값과 같은 값을 스택에 추가합니다.
//  - + : 머신은 스택의 최근 두 개의 값을 꺼내서 더한 결과값을 스택에 추가합니다.
//  - - : 머신은 스택의 맨 위 두 개의 값을 꺼내서 첫 번째 뺀 값에서 두 번째 것을 뺀 결과값을 스택에 추가합니다.

// 모든 작업이 수행된 후에 머신은 스택의 맨 위 값을 리턴합니다.
// 머신은 20-bit 부호없는 정수를 처리합니다.
// 덧셈의 오버플로나 뺄셈의 언더플로는 오류를 일으킵니다.
// 또한 머신은 스택에 실제로 포함된 것보다 더 많은 숫자가 스택에 있을 것으로 예상되는 작업을 수행하려고 할 때 오류를 보고합니다.
// 또한 모든 작업을 수행한 후 스택이 비어 있으면 시스템이 오류를 보고합니다.

if (S.contains("aaa")) {
            return -1;
        }

        char[] chars = S.toCharArray();
        int notACount = 0;
        int currentACount = 0;
        for (char aChar : chars) {
            if ('a' != aChar) {
                notACount++;
            } else {
                currentACount ++;
            }
        }
        int totalACount = (notACount + 1) * 2;
        return totalACount - currentACount;

2번

// you can also use imports, for example:
// import java.util.*;
import java.util.*;

// you can write to stdout for debugging purposes, e.g.
// System.out.println("this is a debug message");

class Solution {
    public int solution(String S) {
        Stack<Integer> stack;
        try {
            stack = operateWordMachine(S);
        } catch (EmptyStackException | StackOverflowError | NumberFormatException e) {
            return -1;
        }
        return stack.pop();
    }

    private Stack operateWordMachine(String S) {
        Stack<Integer> stack = new Stack();
        String[] sequence = S.split(" ");
        for (String command : sequence) {
            switch (command) {
                case "POP" : stack.pop(); break;
                case "DUP" : stack.push(stack.peek()); break;
                case "+" : stack.push(stack.pop() + stack.pop()); break;
                case "-" : stack.push(stack.pop() - stack.pop()); break;
                default :
                    int number = Integer.parseInt(command);
                    if (number > 1_048_575) {
                        throw new StackOverflowError();
                    }
                    stack.push(Integer.parseInt(command));
            }
        }
        return stack;
    }
}

3번

// N개의 정수배열 A와 정수 K가 주어진다.
// 나머지 요소의 진폭이 최소가 되도록 A에서 K개의 연속 요소를 제거하려고 합니다.
// 진폭은 최대 요소와 최소 요소 간의 차이입니다.
// 리턴값은 A에서 K개의 연속적인 요소를 제거한 후 얻을 수 있는 최소 진폭을 나타내는 정수.

// 정수배열에서 최대값과 최소값 차이가 가장적어야함
// 그런데 이제 K만큼 연속적으로 지워야됨(중복아님)

// you can also use imports, for example:
// import java.util.*;
import java.util.Arrays;
// you can write to stdout for debugging purposes, e.g.
// System.out.println("this is a debug message");

class Solution {
    public int solution(int[] A, int K) {
        int arrayLastIndex = A.length - 1;
        Arrays.sort(A);
        if (arrayLastIndex == K) {
            return 0;
        }

        int lastMinusFirst = A[arrayLastIndex] - A[0];
        int kMinusFirst = A[arrayLastIndex - K] - A[0];
        int lastMinusK = A[arrayLastIndex] - A[K];

        int[] resultCases = new int[]{lastMinusFirst, kMinusFirst, lastMinusK};
        Arrays.sort(resultCases);

        return resultCases[0];
    }
}

public int solution(int[] A, int K) {
    // write your code in Java SE 8
    List<Integer> list = Arrays.stream(A).boxed().collect(Collectors.toList());
    int result = getAmplitude(copyList(list));
    for (int i = 0; i <= list.size() - K; i++) {
        List<Integer> copyList = copyList(list);
        for (int j = i; j < i+K; j++) {
            copyList.remove(i);
        }
        int amplitude = getAmplitude(copyList);
        result = Math.min(result, amplitude);
    }
    System.out.println(result);
    return result;
}

private int getAmplitude(List<Integer> list) {
    Collections.sort(list);
    int amplitude = list.get(list.size() - 1) - list.get(0);
    return amplitude;
}

private List<Integer> copyList(List<Integer> list) {
    return list.stream().collect(Collectors.toList());
}

Docker 기초 - 생활코딩

오피스엑소더스 — Sun, 22 Aug 2021 22:11:04 +0900

1. 도커란?

직역하자면 부두에서 컨테이너를 다루는 노동자를 의미.
vmware, virtualbox와 같은 가상 머신처럼 독립된 실행환경을 제공하면서도, 
컴퓨터에 직접 애플리케이션을 설치한 것과 같이 빠르고, 
apt, npm, pip 처럼 명령어 한줄로 원하는 앱이 포함된 실행환경을 손쉽게 설치할 수 있는 
환상적인 개발환경을 제공합니다. - by egoing

리눅스의 컨테이너 기술을 이용해서 프로세스만 격리해서 빠르게 실행시키는 기술
가상 운영체제의 단점인 많은 자원 소모 없이 같은 효과를 낼 수 있음

호스트와 컨테이너
- 호스트 : 운영체제가 설치된 컴퓨터
- 컨테이너 : 호스트에서 실행되는 격리된 실행환경
  - 운영체제가 설치되어있지 않음
  - 앱을 실행하는데 필요한 라이브러리와 실행파일만 포함

2. 이미지 pull

용어
- Docker Hub : App Store
  - https://hub.docker.com/
- image : program
- container : process
- 이미지 pull : App Store에서 프로그램을 다운로드 받는 동작에 대응
- 이미지 run : 이미지를 실행시키는 행위. program을 실행해서 process를 만드는 동작에 대응

3. 컨테이너 run

GUI에서 run : images에 pull받은 image run

커맨드로 run

// httpd image pull
docker pull httpd
// docker image 리스트 확인
docker images

4. 기본적인 명령어

// docker container를 새로이 만들고 생성
docker run [image_name]
docker run --name [name] [image_name]

// docker container 중지
docker stop [name]

// docker container 시작
docker start [name]

// docker container 삭제
docker rm [name]
// docker container 강제 삭제
docker rm --force [name]

// docker image 삭제
docker rmi [image_name]

// docker container 로그 조회
docker logs [name]
// docker container 로그 실시간 조회
docker logs -f [name]

// 실행중인 docker container 목록 조회
docker ps
// 모든 docker container 목록 조회
docker ps -a

5. 네트워크

httpd 이미지를 받아서 run 시켰을 때, 그 container는 서버로 들어오는 80포트의 요청을 처리할 수 있을까?

안된다.

어떻게해야하나?

포트를 연결해주면 된다.

$ docker run --name [name] -p [host_port]:[container_port] httpd

6. docker container 내부 조작

컨테이너 조작(단일 명령어)

$ docker exec [name] [command]

ex) docker exec ws2 pwd

컨테이너 조작(지속)

$ docker exec -it [name] [command] /bin/sh

$ docker exec -it [name] [command] /bin/bash

나가기

# exit

기본적인 편집툴이 없기 때문에 설치 필요 ex) # apt update #apt install nano

7. 호스트와 컨테이너의 파일시스템 연결

호스트의 파일시스템을 연결하지 않은 채로 컨테이너를 실행하게 된다면?

컨테이너가 삭제될 때 컨테이너가 갖고있던 파일들도 모두 삭제된다.

$ docker run -p [host_port]:[container_port] -v [host_file_path]:[container_file_path] [image_name]

ex) $ docker run -p 8888:80 -v ~/Desktop/htdocs:/usr/local/apache2/htdocs/ httpd

Spring Security(3) - form 로그인 방식 예제

오피스엑소더스 — Mon, 12 Jul 2021 20:28:13 +0900

섹션3 실전 프로젝트

1. 실전 프로젝트 구성

구성 : spring boot, spring mvc, spring data jpa, postgresql

2. 정적 자원 접근관리

인증, 인가가 필요 없는 정적 자원에 대해서는 무시하는 설정

permitAll은 필터체인을 거쳐서 무시되지만

ignore는 필터체인에 들어오지도 않음

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

  private final String[] IGNORED_MATCHER_PATTERNS = {"/static/**", "/css/**", "/js/**", "/static/css/images/**", "/webjars/**", "/**/favicon.ico"};

  ...

  @Override
  public void configure(WebSecurity web) throws Exception {
    web.ignoring().antMatchers(IGNORED_MATCHER_PATTERNS);
  }

}

3. PasswordEncoder

비밀번호 암호화 제공
기본으로는 DelegatingPasswordEncoder 클래스 사용
- 기본 : bcrypt
- 상황에 맞게 선택해서 사용

4. DB 연동 인증처리

UserDetailsService 등록

UserDetailsService 구현체 선택(UserDetailsServiceCustom)

SecurityConfig에 등록

 @Configuration
 @EnableWebSecurity
 @RequiredArgsConstructor
 public class SecurityConfig extends WebSecurityConfigurerAdapter {

   private final UserDetailsService userDetailsService;

   @Override
   protected void configure(AuthenticationManagerBuilder auth) throws Exception {
     auth.userDetailsService(userDetailsService);
   }
 }

UserDetailsService 등록하면 뭐가되나?
- 사용해서 UserDetails를 가져오는 loadUserByUsername 재정의

AuthenticationProvider

인증 처리(비밀번호 검사 등)

 @Configuration
 @EnableWebSecurity
 public class SecurityConfig extends WebSecurityConfigurerAdapter {

   @Override
   protected void configure(AuthenticationManagerBuilder auth) throws Exception {
     // auth.userDetailsService(userDetailsService); -- authenticationProvider에서 가져오므로 더 이상 필요없음
     auth.authenticationProvider(authenticationProvider());
   }

   @Bean
   public AuthenticationProvider authenticationProvider() {
     return new AuthenticationProviderCustom();
   }
 }

5. 로그인 페이지, 로그아웃 커스터마이징

로그인 페이지
- SecurityConfig에 URL 등록
- 등록한 URL 매핑(controller)
로그아웃 커스터마이징(SecurityContextLogoutHandler)
- 컨트롤러에서 처리
- SecurityContextLogoutHandler.logout()

6. 인증 부가 기능 구현

WebAuthenticationDetails
- 부가적인 정보를 사용
- Authentication의 Object defails로 저장됨
- 상속받아 사용 가능
AuthenticationDetailsSource
- WebAuthenticationDetails를 생성해주는 역할
- UsernamePasswordAuthenticationFilter에 setDetails메서드에서 사용(authenticationDetailsSource.buildDetails)
- 구현체를 SecurityConfig에서 등록해서 커스터마이징 가능

AuthenticationSuccessHandler

AuthenticationHandler 인터페이스 구현, 구현체 상속 등

// SecurityConfig
http
  ...
  .formLogin()
    ...
    .successHandler(authenticationSuccessHandler)
  ...

 // AuthenticationSuccessHandlerCustom
 @Component
 public class AuthenticationSuccessHandlerCustom extends SimpleUrlAuthenticationSuccessHandler {     
   private RequestCache requestCache = new HttpSessionRequestCache();     
   private RedirectStrategy redirectStrategy = new DefaultRedirectStrategy();

   @Override
   public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
     setDefaultTargetUrl("/");
     SavedRequest savedRequest = requestCache.getRequest(request, response);
     if (savedRequest != null) {
       String targetUrl = savedRequest.getRedirectUrl();
       redirectStrategy.sendRedirect(request, response, targetUrl);
     } else {
       redirectStrategy.sendRedirect(request, response, getDefaultTargetUrl());
     }
   }     
 }
 ```

AuthenticationFailureHandler

인증실패 처리
AuthenticationHandler 인터페이스 구현, 구현체 상속 등

// SecurityConfig
http
  ...
  .formLogin()
    ...
    .failureHandler(authenticationFailureHandler)
  ...

// AuthenticationFailureHandler
@Component
public class AuthenticationFailureHandlerCustom extends SimpleUrlAuthenticationFailureHandler {     
  @Override
  public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
    String errorMessage = "Invalid Username or Password";
    if (exception instanceof InsufficientAuthenticationException) {
      errorMessage = "Invalid Secret Key";
    }
    setDefaultFailureUrl("/login?error=true&exception=" + errorMessage);
    super.onAuthenticationFailure(request, response, exception);
  }     
}

AccessDeniedHandler

인가예외 처리

@Component
public class AccessDeniedHandlerCustom implements AccessDeniedHandler {     
  @Override
  public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException accessDeniedException) throws IOException, ServletException {
    String deniedUrl = "/denied?message=" + accessDeniedException.getMessage();
    response.sendRedirect(deniedUrl);
  }     
}

Spring Security(2) - 전체 구조와 필터 별 역할 정리

오피스엑소더스 — Wed, 7 Jul 2021 09:27:43 +0900

섹션2 스프링 시큐리티 주요 아키텍처

1. 위임 필터 및 필터 빈 초기화 - DelegatingFilterProxy, FilterChainProxy

DelegatingFilterProxy
- ServletFilter
  - servlet 스펙 2.3부터 도입됨. servlet으로 요청이 들어가기 전, 후에 동작
  - servlet 컨테이너가 만들고 관리
  - 스프링에서 만든 내용을 주입받아 사용할 수 없음
- DelegatingFilterProxy
  - servlet 필터를 거친 요청을 Spring Bean에 위임시키는 역할
  - servlet컨테이너가 초기화될 때 servletFilter로 등록됨
  - ApplicationContext에서 springSecurityFilterChain을 찾아 보안처리 위임
FilterChainProxy
- springSecurityFilterChain이름으로 생성되는 스프링 빈
- 스프링 시큐리티가 초기화될 때 관리할 필터들을 결정(기본필터 + 설정을 통한 추가필터)
- 필터를 순서대로 호출해서 사용자 요청을 각각의 필터에 전달
- 마지막 필터까지 예외가 발생하지 않으면 인증 통과

순서 정리

순서

1. 서블릿 컨테이너 초기화할 때 SpringSecurity의 DelegatingFilterProxy를 서블릿 필터로 등록
2. ApplicationContext 초기화 될 때 springSecurityFilterChain 이름으로 설정된 securityFilter들을 가진 FilterChainProxy 등록
3. 서블릿 request가 들어오면 서블릿은 DelegatingFilterProxy를 통해 FilterChainProxy로 request를 보내 보안작업을 위임시킴
4. FilterChainProxy는 보안 작업을 수행
5. 보안 작업이 완료되면 서버로 요청 전달(DispatherServlet)

서블릿 필터에서 springSecurityFilterChain이름을 찾을 수 있도록 설정하는 코드

스프링 컨테이너에 FilterChainProxy가 springSecurityFilterChain이름으로 등록되는 코드

DelegatingFilterProxy가 springSecurityFilterChain을 찾고 그 필터에게 위임하는 동작

springSecurityFilterChain이 작동(doFilterInternal메서드 안에 VertualFilterChain에서 실제 필터들이 수행됨)

2. 필터 초기화와 다중 보안 설정

다중 보안 설정
- 2개 이상의 SecurityConfig 클래스
- 각각의 클래스는 RequestMatcher(Request URL)로 구분하고 순서(@Order)를 설정해야 한다.
- 설정 클래스 별로 필터체인이 생성됨
- 동작 방식
  - FilterChainProxy가 여러개의 SecurityFilterChain 객체를 갖는다(SecurityFilterChains)
  - 개별 SecurityFilterChain은 Filters(필터정보)와 RequestMatcher(요청정보)를 갖는다.
  - FilterChainProxy가 요청을 받으면 요청정보에 맞는 RequestMatcher를 갖는 SecurityFilterChain으로 보안작업을 수행한다.
- 테스트
  - security1은 인증필요, security2는 permitAll
  - ```
  @Test
  void needAuthorityConfig() throws Exception {
    ResultActions needAuthority = mockMvc.perform(get("/security1"));
    ResultActions permitAll = mockMvc.perform(get("/security2"));
    assertAll(() -> {
      needAuthority.andExpect(status().isUnauthorized());
      permitAll.andExpect(status().isOk());
    });
  }
```
- 필터체인 선정 시점(FilterChainProxy.doFilterInternal)

3. Authentication(인증)

Authentication?
- 사용자가 누구인지 증명하는 것
- 인증 결과는 SecurityContext에 저장되어 전역적으로 참조할 수 있다.
- SpringSecurity에서는 interface이며 그 구현체를 인증정보를 전달하는 객체로 사용한다.

Authentication 객체가 포함하는 정보

1. principal : 사용자 아이디 혹은 User 객체를 저장
2. credentials : 사용자 비밀번호
3. authorities : 인증된 사용자의 권한 목록
4. details : 인증 부가 정보
5. Authenticated : 인증 여부

SecurityContext에 저장되기 까지의 과정

1. UsernamePasswordAuthenticationFilter에서 Authentication 객체 생성
2. 이 때 Authentication principal은 username, credentials는 password(UsernamePasswordAuthenticationToken은 Authentication 구현체)
3. Authentication 객체 AuthenticationManager로 전달
4. 인증 후 인증객체를 갱신 : principal은 UserDetails, credentials는 null
5. 인증정보를 SecurityContextHolder(ThreadLocal)에 저장

4. 인증 저장소 - SecurityContextHolder, SecurityContext

SecurityContext
- Authentication 객체가 저장되는 보관소
- 언제든지 Authentication 객체를 꺼내어쓸 수 있도록 제공되는 클래스
- ThreadLocal에 저장되어 어디서나 참조가 가능
- ThreadLocal : 다른 스레드에서는 접근할 수 없는 개별 Thread의 저장소
SecurityContextHolder
- SecurityContext를 갖고있는 클래스
- SecurityContext 저장 방식
- ```
1. MODE_THREADLOCAL : 하나의 스레드 당 하나의 SecurityContext 객체를 할당(default)
2. MODE_INHERITABLETHREADLOCAL : 메인 스레드와 자식 스레드에 대해 동일한 SecurityContext를 유지
3. MODE_GLOBAL : 응용 프로그램에서 단 하나의(static) SecurityContext를 갖는다.
```
- 인증이 완료되면 저장방식에 따라 ThreadLocal에 인증정보를 저장하고 HttpSession에 SPRING_SECURITY_CONTEXT로도 저장.
- 인증 후에 다시 접속할 때에는 session에 저장돼있던 SecurityContext를 가져온다.

5. SecurityContextPersistenceFilter

SecurityContextPersistenceFilter

SecurityContext 객체의 생성, 저장, 조회 처리 역할

동작 순서
- 새로운 SecurityContext 생성하여 SecurityContextHolder에 저장
- 인증이 완료되면 Authentication 객체를 SecurityContext에 저장
- 익명 사용자가 아닌 경우 Session에 SecurityContext 저장
- 인증이 완료된 이후 다른 request가 들어오면 Session에서 SecurityContext를 꺼내어 SecurityContextHolder에 저장
- SecurityContext안에 Authentication 객체가 존재하면 계속 인증을 유지한다.

동작 코드
- SecurityContext를 Session에서 가져오는데 없으면 만들어준다.
- finally에서 clear하고 session에 저장한다.

6. 인증 흐름 이해 AuthenticationFlow

인증 흐름
- UsernamePasswordAuthenticationFilter : 매니저로부터 받은 인증객체 SecurityContext에 저장 (AbstractAuthenticationProcessingFilter.successfulAuthentication)
- AuthenticationManager : 인증의 전반적인 관리(위임, 토큰 객체 생성 등), 실제 인증 역할은 AuthenticationProvider에 위임
- AuthenticationProvider : 실제 인증 처리, 유저 유효성 검증(패스워드 체크 등)
- UserDetailsService : 유저 객체 조회, UserDetails타입으로 반환

7. AuthenticationManager

AuthenticationManager
- interface이며, 기본 구현체는 ProviderManager
- 인증처리는 Provider에게 위임
- 선택하는 Provider는 인증 요청에 따라 다름(Form, RememberMe, Oauth)
- 인증 요청에 적합한 Provider가 없는 경우 parent 필드에 적합한 Provider가 있는지 탐색해서 사용
- 적합한지 아닌지는 Provider의 supports메서드 사용
초기화 과정
- AuthenticationManagerBuilder에서 AuthenticationProvider를 추가함
- 여러 개를 만들어 authenticationProviders에 add
동작
- 초기화 과정에서 결정된 Provider에게 인증 위임
- 적합 Provider인지 아닌지는 Provider의 supports메서드 사용해서 판단
- 인증 객체 인스턴스 타입에 따라 선택
- 작업이 완료되면 AuthenticationManager를 호출한 Filter로 인증 객체를 리턴

8. Authorization

인가 : 접근이 허가된 권한을 갖는 사용자인지 입증하는 절차

웹 계층 : URL요청에 따른 화면 단위의 보안(ex_ GET /user/id01)
서비스 계층 : 메서드 기능 단위의 보안 (ex_ public void getUserByUsername())
도메인 계층 : 객체 단위의 보안

FilterSecurityInterceptor
- 필터 체인 마지막에 위치한 필터
- ```
public class FilterSecurityInterceptor extends AbstractSecurityInterceptor implements Filter { ... }
```
- 인증된 사용자의 요청에 대해 승인/거부 여부를 최종적으로 결정
- 권한 처리는 AccessDecisionManager에 위임
- FilterSecurityInterceptor에서 super클래스의 beforeInvocation호출
- beforeInvocation : 메타데이터 활용해서 인가처리(AbstractSecurityInterceptor)
- attemptAuthorization : AffirmativeBased가 인가 결정

9. 인가결정 심의자

AccessDecisionManager
- 사용자의 자원접근 허용여부를 최종 결정하는 주체
- 여러 개의 Voter를 가지며 Voter들은 접근허용, 거부, 보류에 해당하는 각각의 값을 리턴한다.
- 접근결정의 세 가지 유형
  1. AffirmativeBased : 하나라도 접근 허가면 허가
  2. ConsensusBased : 다수표에의해 최종허가 판단. 동수일 경우 allowIfEqualGrantedDeniedDecisions옵션에 따름(default = 허가)
  3. UnanimousBased : 만장일치여야만 승인
AccessDecisionVoter
- 판단을 심사하는 주체
- 권한 부여의 판단 근거가 되는 자료
  1. Authentication : 인증정보
  2. FilterInvocation : 요청정보(antManager("/user"))
  3. ConfigAttributes : 권한정보(hasRole("USER"))
구조
- FilterSecurityInterceptor가 AccessDecisionManager에 인가처리를 요청하면?
- AccessDecisionManager가 갖는 Voter들이 판단처리
- 승인이 거부되면 ExceptionTranslationFilter가 처리
- AccessDecisionVoter의 여러 구현체들

10. 정리

초기화
1. SecurityConfig 선언
2. 선언된 대로 HttpSecurity가 filter들을 생성
3. WebSecurity가 HttpSecurity들의 filter목록을 받아 FilterChainProxy로 전달
4. DelegatingFilterProxy가 초기화될 때 springSecurityFilterChain이라는 빈을 찾아서 요청을 위임하게됨
5. springSecurityFilterChain빈은 FilterChainProxy
인증 인가 과정 : 로그인 시도 - 성공
1. SecurityContextPersistenceFilter
  - SecurityContext가 있는지 확인
  - 있으면 가져오고 없으면 만들어줌
2. LogoutFilter : 로그아웃 요청이 아니므로 패스
3. UsernamePasswordAuthenticationFilter
  - 인증처리하고 SecurityContext에 인증객체 저장
  - AuthenticationManager, AuthenticationProvider, UserDetailsService
  - 인증에 성공하면 SessionManagementFilter에 선언된 기능을 사용해서 후속처리
  - LoginSuccessHandler에 따라 동작하게됨
4. SecurityContextPersistenceFilter
  - 이 전에 로그인한 정보를 가져옴
5. LogoutFilter : 로그아웃 요청이 아니므로 패스
6. UsernamePasswordAuthenticationFilter : 인증 요청이 아니므로 패스
7. ConcurrentSessionFilter : 동시세션제어가 아니므로 패스
8. RememverMeAuthenticationFilter : remember-me cookie 확인
9. AnonymousAuthenticationFilter : 인증사용자이므로 패스
10. SessionManagementFilter : 세션이 있고 세션에 인증객체도 있기 때문에 패스
11. ExceptionTranslationFilter : 인가예외 처리
12. FilterSecurityInterceptor : 인가처리를 하는 필터로 예외발생시킴
```
1,2,3,4 : 로그인 요청
5,6,7,8,9,10,11,12 : 자원접근 요청
```

git 원격저장소에는 없는 브랜치가 로컬에는 있어서 pull, fetch가 안될 때

오피스엑소더스 — Wed, 30 Jun 2021 22:00:52 +0900

원격저장소에는 분명 없는 브랜치인데

로컬에서 pull받으려고 하면 아래처럼 오류가 나는 경우가 있다.

ERROR: Error fetching remote repo 'origin'
hudson.plugins.git.GitException: Failed to fetch from 원격저장소
	at hudson.plugins.git.GitSCM.fetchFrom(GitSCM.java:899)
	at hudson.plugins.git.GitSCM.retrieveChanges(GitSCM.java:1114)
	at hudson.plugins.git.GitSCM.checkout(GitSCM.java:1145)
	at hudson.scm.SCM.checkout(SCM.java:505)
	at hudson.model.AbstractProject.checkout(AbstractProject.java:1206)
	at hudson.model.AbstractBuild$AbstractBuildExecution.defaultCheckout(AbstractBuild.java:574)
	at jenkins.scm.SCMCheckoutStrategy.checkout(SCMCheckoutStrategy.java:86)
	at hudson.model.AbstractBuild$AbstractBuildExecution.run(AbstractBuild.java:499)
	at hudson.model.Run.execute(Run.java:1880)
	at hudson.maven.MavenModuleSetBuild.run(MavenModuleSetBuild.java:543)
	at hudson.model.ResourceController.execute(ResourceController.java:97)
	at hudson.model.Executor.run(Executor.java:428)
Caused by: hudson.plugins.git.GitException: Command...
error: cannot lock ref '브랜치': '브랜치' exists; cannot create '브랜치'
	at org.jenkinsci.plugins.gitclient.CliGitAPIImpl.launchCommandIn(CliGitAPIImpl.java:2372)
	at org.jenkinsci.plugins.gitclient.CliGitAPIImpl.launchCommandWithCredentials(CliGitAPIImpl.java:1985)
	at org.jenkinsci.plugins.gitclient.CliGitAPIImpl.access$500(CliGitAPIImpl.java:80)
	at org.jenkinsci.plugins.gitclient.CliGitAPIImpl$1.execute(CliGitAPIImpl.java:563)
	at hudson.plugins.git.GitSCM.fetchFrom(GitSCM.java:897)
	... 11 more
ERROR: Error fetching remote repo 'origin'

이럴 땐?

$ git remote prune origin

$ git fetch --prune

끝

Spring Security(1)

오피스엑소더스 — Thu, 17 Jun 2021 17:01:37 +0900

섹션1 스프링 시큐리티 기본 API 및 Filter 이해

1. spring-boot-starter-security 디펜던시를 추가하면 무슨일이 생기나

서버가 기동되면 스프링 시큐리티의 초기화 작업 및 기본적인 보안 설정이 이루어진다.
- 기본적인 보안 설정?
  - 모든 요청에 대해 인증을 요구한다.
  - 인증 방식은 폼 로그인 방식과 httpBasic로그인 방식을 제공한다.
  - 기본 로그인 페이지 제공
  - 기본 계정 제공 : user / {password}
```
Using generated security password: 4add4fb7-0180-4223-8cde-a278183cb58c
```

2. 사용자 정의 보안 기능 구현(Customizing)

WebSecurityConfigurerAdapter

서버가 구동되면서 이 클래스를 호출한다.
스프링 시큐리티의 웹 보안 기능을 초기화하고 설정해주는 추상 클래스
HttpSecurity를 생성한다.(WebSecurityConfigurerAdapter의 init메서드에서)
HttpSecrity는 세부적인 보안 기능을 설정할 수 있는 API를 제공한다. 크게 인증 API, 인가 API로 나뉜다.

// WebSecurityConfigurerAdapter가 갖는 메서드
@Override
public void init(WebSecurity web) throws Exception {
 HttpSecurity http = getHttp();
 web.addSecurityFilterChainBuilder(http).postBuildAction(() -> {
   FilterSecurityInterceptor securityInterceptor = http.getSharedObject(FilterSecurityInterceptor.class);
   web.securityInterceptor(securityInterceptor);
 });
}
protected final HttpSecurity getHttp() throws Exception {
 if (this.http != null) {
   return this.http;
 }
 // ... 생략
 this.http = new HttpSecurity(this.objectPostProcessor, this.authenticationBuilder, sharedObjects);
 // ... 생략
 return this.http;
}

커스터마이징
- @EnableWebSecurity 어노테이션을 custom config클래스에 선언해주어야 한다. : 웹 보안을 활성시키기 위한 어노테이션

FormLogin custom 설정

http
    .formLogin()
      .loginPage("/login") // 사용자 정의 로그인 페이지
      .defaultSuccessUrl("/home") // 로그인 성공 후 이동 페이지
      .failureUrl("/login?error=true") // 로그인 실패 후 이동 페이지
      .usernameParameter("username") // form에 아이디 파라미터 key
      .passwordParameter("password") // form에 비밀번호 파라미터 key
      .loginProcessingUrl("") // 로그인 Form action URL
      .successHandler(loginSuccessHandler()) // 로그인 성공 후 핸들러
      .failureHandler(loginFailureHandler()) // 로그인 실패 후 핸들러

UsernamePasswordAuthenticationFilter
- username과 password로 인증을 처리하는 필터
- AbstractAuthenticationProcessingFilter를 상속받고 있음(doFilter메서드는 부모클래스에)
- 동작
  1. request의 요청 정보가 설정된 값(loginProcessingUrl)과 같으면 동작, 아니면 다음 필터로(chain.doFilter)
  2. Authentication 객체 생성(username + password)
  3. AuthenticationManager로 인증객체 전달(Authentication Manager 내부에 갖고있는 AuthenticationProvider 객체에 인증을 위임)
  4. ProviderManager가 provider를 찾아서 인증처리
  5. AuthenticationProvider에서 인증 실패하면 예외 발생, 성공하면 인증정보를 Authentication객체에 담아 manager로 리턴
  6. 여기까지 오면 Authentication 객체는 유저 정보와 권한들을 가짐
  7. 인증객체를 SecurityContext에 저장
  8. SuccessHandler 동작
LogoutFilter
- 로그아웃(세션 무효화, 인증토큰 삭제, 쿠키정보 삭제 등) 처리해주는 필터
- logoutHandler : 위 작업들을 처리해주는 핸들러. 추가 기능이 필요한 경우 커스텀 가능
- 동작
  1. request의 요청 정보가 설정된 값(logoutUrl)과 같으면 동작, 아니면 다음 필터로(chain.doFilter)
  2. SecurityContext의 인증정보를 가져와서 로그아웃 핸들러로 보냄
  3. 로그아웃 핸들러는(여러 핸들러 공존 가능) 세션 무효화, 쿠키 삭제, 인증토큰 삭제, 컨텍스트 클리어 등 동작
RememberMeAuthenticationFilter
- 서버가 쿠키를 발급해주고 클라이언트가 쿠키를 서버로 올렸을 때 서버는 토큰기반 인증을 사용해 검증이 되면 로그인 처리
- 인증 성공할 때 쿠키 생성, 인증 실패 또는 로그아웃할 때 쿠키 삭제
- 동작
  1. authentication 객체가 null일 때만 동작(null이 아니면 다음 필터로)
  2. RememberMeService에서 인증처리(구현체에 따라 remember-me 정보 메모리에 저장할지 DB에 저장할지 등 선택)
  3. 토큰이 있으면 추출, 없으면 doFilter
  4. 토큰을 decode해서 토큰이 서로 일치하는지, User 계정이 존재하는지를 검증하고 인증처리
  5. 4단계에서 문제 있으면 예외 발생
AnonymousAuthenticationFilter
- 익명사용자 인증 처리 필터. Authentication 객체에 anonymousUser, ROLE_ANONYMOUS로 설정해준다.
- 인증여부를 구현할 때 isAnonymous, isAuthenticated로 구분해서 사용한다. : AuthenticationTrustResolver
SessionManagementFilter
- 세션 관리 필터(등록, 조회, 삭제, 이력관리, 동시세션제어, 세션고정보호, 세션생성정책결정)
- 세션고정보호
  - 공격 시나리오 : 공격자가 사용자의 세션ID(쿠키)를 공격자의 세션 ID로 설정해서 로그인한 것 처럼 사용
  - 보호방법 : 인증할 때 마다 새 세션 ID 생성(changeSessionId)
  - 서블릿 3.1이전 : 이전 세션 값 가져와서 생성(migrateSession), 전혀 새로운 세션 생성(newSession)
  - 인증된 세션 ID를 탈취하는 공격에 대해서는 다르게 방어해야함(ex_ IP check)
- 세션인증전략 순서(AuthenticationStrategy)
  - CompositeSessionAuthenticationStrategy가 delegateStrategies로 관리한다.
  - HttpSecurity(extends AbstractConfiguredSecurityBuilder).doBuild 에서 1~3은 init(), 4는 configure()에서 설정되기 때문에 아래와 같은 순서를 갖는다.
  1. ConcurrentSessionControlAuthenticationStrategy : 동시세션 제어
  2. ChangeSessionIdAuthenticationStrategy : 세션고정보호(세션 발급)
  3. RegisterSessionAuthenticationStrategy : sessionRegistry에 세션정보를 등록하는 역할
  4. CsrfAuthenticationStrategy : CSRF Token 체크
  5. 위 전략 외 필요에 따라 다른 것들이 더 추가될 수 있음
ConcurrentSessionFilter
- 동시세션 제어 필터
- maximumSessions 설정이 있을 때만 필터체인에 등록됨 (SessionManagementConfigurer에 maximumSessions가 null이 아닌 경우)

권한설정과 표현식(인가)

권한설정 방식
- 선언적 방식
  1. URL : 특정 URL마다 접근권한 지정
  2. 메서드 : 특정 메서드마다 접근권한 지정

URL 선언적 방식에서 표현식

antMatchers에 URL선언은 순서를 갖는다.

hasRole(String role)    // configurer에서 ROLE_ 붙여줌
hasAnyRole(String... roles) // configurer에서 ROLE_ 붙여줌
hasAuthority(String authority)
hasAnyAuthority(String... authorities)
access(String attribute)    //위 표현식들이 호출하는 메서드 
hasIpAddress(String ipaddressExpression)
permitAll()
denyAll()
anonymous()     // 익명 사용자 허용
rememberMe()    // rememberMe 허용
authenticated()
fullyAuthenticated()    // rememberMe 제외하고 인증된 사용자 허용

ExceptionTranslationFilter
- 인증예외 처리 필터이며 FilterSecurityInterceptor가 던지는 예외를 잡아서 호출함
- 처리하는 예외 종류
  - AuthenticationException : 인증 예외, AuthenticationEntryPoint 호출
  - AccessDeniedException : 인가 예외, AccessDeniedHandler에서 예외 처리
- HttpSessionRequestCache
  - 인증 예외가 발생한 경우 request정보를 담고있는 객체(세션에 저장됨)
  - ExceptionTranslationFilter에서 entryPoint.commence 메서드 호출하기 전 저장한다.(session.setAttribute)
  - RequestCacheAwareFilter에서 가져온다
  - 인증 예외 발생 후 다시 로그인에 성공했을 때 loginSuccessHandler에서 예외 발생 당시 requestUrl로 쉽게 리다이렉트 시켜줄 수 있다.
사이트 간 요청 위조(CSRF)
- 피해자의 의도와 무관하게 공격자가 의도한 행위를 서버에 요청하게끔 만드는 공격
- CsrfFilter
  - 모든 요청에 랜덤하게 생성된 토큰을 http 파라미터로 요구
  - 서버가 내린 csrf 토큰과 일치하지 않으면 요청실패
  - XSS공격과 혼용돼서 csrf토큰까지 탈취되면 의미없음

*** 분명 Filter인데 chain.doFilter를 못찾은 경험이 있다. 그럴 땐 상속클래스를 확인해보면 된다.

*** 중간에 있는 eventPublisher는 어떻게 동작하나? 필터체인 중간에 끼게할 수 있나?