package kr.or.ddit.security;
import java.io.IOException;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.springframework.security.access.AccessDeniedException;
import org.springframework.security.web.access.AccessDeniedHandler;
import lombok.extern.slf4j.Slf4j;
@Slf4j
public class CustomAccessDeniedHandler implements AccessDeniedHandler {
@Override
public void handle(HttpServletRequest request, HttpServletResponse response,
AccessDeniedException accessDeniedException) throws IOException, ServletException {
log.info("handle");
// DB 작업
// 로그 작업
// 메세지 발송
response.sendRedirect("/accessError");
/*
공지사항 등록 화면(/notice/register)은
일반회원(member/java)이 접근할 수 없는 페이지이고,
관리자(admin/java)만 접근 가능하므로..
지정된 접근 거부 처리자(CustomAccessDeniedHander)에서
접근 거부 처리 페이지(/accessError)로 리다이렉트 시킴
*/
}
}
security-context.xml
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:security="http://www.springframework.org/schema/security"
xsi:schemaLocation="http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd
http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
<!-- CustomAccessDeniedHandler customAccessDenied =
new CustomAccessDeniedHandler();
-->
<bean id="customAccessDeniedHandler"
class="kr.or.ddit.security.CustomAccessDeniedHandler"></bean>
<security:http>
<!-- <security:csrf disabled="true"/> -->
<!-- URI 패턴으로 접근 제한을 설정함 -->
<security:intercept-url pattern="/board/list" access="permitAll"/> <!-- access="permitAll" : 누구나 접근가능 -->
<security:intercept-url pattern="/board/register" access="hasRole('ROLE_MEMBER')"/> <!-- 회원만 접근가능 -->
<security:intercept-url pattern="/notice/list" access="permitAll"/> <!-- access="permitAll" : 누구나 접근가능 -->
<security:intercept-url pattern="/notice/register" access="hasRole('ROLE_ADMIN')"/> <!-- 관리자만 접근가능 -->
<!-- 폼 기반 인증 기능을 사용 -->
<security:form-login />
<!-- 접근 거부 처리자의 URI 지정 -->
<!-- <security:access-denied-handler error-page="/accessError"/> -->
<!-- 등록한 사용자 정의 bean을 접근 거부 처리자로 지정함 -->
<security:access-denied-handler ref="customAccessDeniedHandler"/>
</security:http>
<!-- 지정된 아이디와 패스워드로 로그인이 가능하도록 설정-->
<!-- 스프링 시큐리니티 5부터 기본적으로 PasswordEncoder를 지정해야 하는데,
그 이유는 사용자 테이블(USERS)에 비밀번호를 암호화하여 저장해야 하므로..
우리는 우선 비밀번호를 암호화 처리 하지 않았으므로
암호화 하지 않는 PasswordEncoder를 직접 구현하여 지정하기로 함
noop : no option password
-->
<!-- authentication : 인증 (로그인) -->
<security:authentication-manager>
<!-- 지정된 아이디와 패스워드로 로그인이 가능하도록 설정함 -->
<security:authentication-provider>
<security:user-service>
<security:user name="member" password="{noop}1234" authorities="ROLE_MEMBER" />
<security:user name="admin" password="{noop}1234" authorities="ROLE_MEMBER,ROLE_ADMIN" />
</security:user-service>
</security:authentication-provider>
</security:authentication-manager>
</beans>
INSERT INTO EMPLOYEE_AUTH(EMP_NO, AUTH)
SELECT EMP_NO, 'ROLE_MEMBER'
FROM EMPLOYEE;
위 코드까지 실행해주면 EMP_NO당 권한이 부여된다.
SELECT A.EMP_NO, A.EMP_NAME, A.EMP_ADDRESS, A.EMP_TELNO, A.EMP_SALARY,
A.FILENAME, A.EMP_PWD, A.ENABLED
,B.EMP_NO, B.AUTH
FROM EMPLOYEE A, EMPLOYEE_AUTH B
WHERE A.EMP_NO = B.EMP_NO
AND A.EMP_NO = 'A004';
EMP_NO가 A004인 사원의 AUTH 테이블 조회
SELECT한 결과를 시큐리티에 넘겨주자
security-context.xml 수정
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:security="http://www.springframework.org/schema/security"
xsi:schemaLocation="http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd
http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
<!-- CustomAccessDeniedHandler customAccessDenied = new CustomAccessDeniedHandler(); -->
<bean id="customAccessDeniedHandler"
class="kr.or.ddit.security.CustomAccessDeniedHandler"></bean>
<bean id="customLoginSuccess"
class="kr.or.ddit.security.CustomLoginSuccessHandler"></bean>
<!-- 비밀번호 암호화 처리기를 빈으로 등록 -->
<bean id="passwordEncoder"
class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"></bean>
<bean id="customUserDetailsService"
class="org.springframework.security.CustomUserDetailsService"></bean>
<security:http>
<!-- <security:csrf disabled="true"/> -->
<!-- URI 패턴으로 접근 제한을 설정함 -->
<security:intercept-url pattern="/board/list"
access="permitAll" /> <!-- access="permitAll" : 누구나 접근가능 -->
<security:intercept-url
pattern="/board/register" access="hasRole('ROLE_MEMBER')" /> <!-- 회원만 접근가능 -->
<security:intercept-url pattern="/notice/list"
access="permitAll" /> <!-- access="permitAll" : 누구나 접근가능 -->
<security:intercept-url
pattern="/notice/register" access="hasRole('ROLE_ADMIN')" /> <!-- 관리자만 접근가능 -->
<!-- 폼 기반 인증 기능을 사용 -->
<!-- <security:form-login /> -->
<security:form-login login-page="/login"
authentication-success-handler-ref="customLoginSuccess" />
<!-- 로그아웃 처리를 위한 URI를 지정하고, 로그아웃한 후에 세션을 무효화함 /logout : post방식, 요청 URI
= form의 action="logout" -->
<security:logout logout-url="/logout"
invalidate-session="true" />
<!-- 접근 거부 처리자의 URI 지정 -->
<!-- <security:access-denied-handler error-page="/accessError"/> -->
<!-- 등록한 사용자 정의 bean을 접근 거부 처리자로 지정함 -->
<security:access-denied-handler
ref="customAccessDeniedHandler" />
</security:http>
<!-- 지정된 아이디와 패스워드로 로그인이 가능하도록 설정 -->
<!-- 스프링 시큐리니티 5부터 기본적으로 PasswordEncoder를 지정해야 하는데, 그 이유는 사용자 테이블(USERS)에
비밀번호를 암호화하여 저장해야 하므로.. 우리는 우선 비밀번호를 암호화 처리 하지 않았으므로 암호화 하지 않는 PasswordEncoder를
직접 구현하여 지정하기로 함 noop : no option password -->
<!-- authentication : 인증 (로그인) -->
<security:authentication-manager>
<!-- 지정된 아이디와 패스워드로 로그인이 가능하도록 설정함 -->
<security:authentication-provider
user-service-ref="customUserDetailsService">
<!-- root-context.xml에 있음 -->
<!-- <security:jdbc-user-service data-source-ref="dataSource" /> -->
<!-- 비밀번호 암호화 -->
<security:password-encoder
ref="passwordEncoder" />
<!-- <security:user-service> -->
<!-- <security:user name="member" password="{noop}1234" -->
<!-- authorities="ROLE_MEMBER" /> -->
<!-- <security:user name="admin" password="{noop}1234" -->
<!-- authorities="ROLE_MEMBER,ROLE_ADMIN" /> -->
<!-- </security:user-service> -->
</security:authentication-provider>
</security:authentication-manager>
</beans>
