Spring Security와 JWT로 인증과 인가는 어떻게 동작하나요?

Question

IT Interview Practice · Accepted Answer

Spring Security는 모든 요청이 컨트롤러에 도달하기 전에 가로채는 서블릿 **filter chain**입니다. **인증(authentication)**은 "당신은 누구인가?"에 답하고; **인가(authorization)**는 "이 작업을 할 수 있는가?"에 답합니다. 무상태 REST API에서는 서버 측 세션 대신 **JWT**(JSON Web Token)를 쓰는 것이 일반적인 접근입니다.

## JWT 흐름

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

토큰은 서버가 서명하므로, 이후 요청에서 filter가 *데이터베이스 조회 없이* 이를 검증할 수 있습니다 — 이것이 무상태이면서 수평 확장 가능하게 만드는 요소입니다.

## filter chain 구성

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## 메서드 수준 인가

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## 왜 중요한가

인증/인가는 보안 사고가 일어나는 지점이라, 면접관은 올바른 직관을 듣고자 합니다: **비밀번호를 BCrypt로 해시**하고(평문 저장 절대 금지), refresh token과 함께 JWT를 짧게 유지하며, 확장성을 위해 무상태 토큰을 선호하되 그 trade-off를 아는 것 — denylist 없이는 JWT를 즉시 폐기할 수 없습니다. 토큰 API에서 *왜* CSRF가 비활성화되는지 아는 것은 복사-붙여넣기 설정이 아니라 진짜 이해를 보여 줍니다.

JWT 흐름

filter chain 구성

메서드 수준 인가

왜 중요한가

관련 질문