Spring Security로 일회성 토큰 인증 구현

오늘날의 디지털 환경에서는 안전하고 사용자 친화적인 인증 방법을 제공하는 것이 중요합니다. 인기를 얻고 있는 방법 중 하나는 이메일을 통해 전송되는 "마법 링크"로 구현되는 OTT(일회성 토큰) 인증입니다. Spring Security 6.4.0은 즉시 사용 가능한 구현을 포함하여 OTT 인증을 위한 강력한 내장 지원을 제공합니다. 이 종합 가이드에서는 내장 솔루션과 맞춤형 구현을 모두 사용하여 보안 OTT 인증을 구현하는 방법을 살펴보겠습니다.

일회용 토큰과 일회용 비밀번호의 이해

구현을 시작하기 전에 일회용 토큰(OTT)이 일회용 비밀번호(OTP)와 다르다는 점을 이해하는 것이 중요합니다. OTP 시스템은 일반적으로 초기 설정이 필요하고 비밀번호 생성을 위해 외부 도구에 의존하는 반면, OTT 시스템은 사용자 관점에서 더 간단합니다. 인증에 사용할 수 있는 고유한 토큰(일반적으로 이메일을 통해)을 받습니다.

주요 차이점은 다음과 같습니다.

• OTT는 초기 사용자 설정이 필요하지 않습니다
• 토큰은 애플리케이션에 의해 생성되고 전달됩니다
• 각 토큰은 일반적으로 한 번만 사용할 수 있으며 설정된 시간이 지나면 만료됩니다

사용 가능한 내장 구현

Spring Security는 OneTimeTokenService의 두 가지 구현을 제공합니다.

1. InMemoryOneTimeTokenService:

   • 토큰을 메모리에 저장
   • 개발 및 테스트에 적합
   • 프로덕션 또는 클러스터링 환경에는 적합하지 않습니다
   • 애플리케이션을 다시 시작하면 토큰이 손실됩니다

2. JdbcOneTimeTokenService:

   • 데이터베이스에 토큰을 저장합니다
   • 제작용으로 적합
   • 클러스터 환경에서 작동
   • 자동 정리를 통한 영구 저장

InMemoryOneTimeTokenService 사용

더 간단한 인메모리 솔루션을 구현하는 방법은 다음과 같습니다.

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login/**", "/ott/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(Customizer.withDefaults())
            .oneTimeTokenLogin(Customizer.withDefaults());  // Uses InMemoryOneTimeTokenService by default

        return http.build();
    }
}

JdbcOneTimeTokenService 사용

프로덕션 환경의 경우 JDBC 구현을 사용하세요.

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Autowired
    JdbcTemplate jdbcTemplate;

    @Bean
    public OneTimeTokenService oneTimeTokenService() {
        return new JdbcOneTimeTokenService(jdbcTemplate);
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login/**", "/ott/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(Customizer.withDefaults())
            .oneTimeTokenLogin(Customizer.withDefaults());

        return http.build();
    }
}

JdbcOneTimeTokenService에 필요한 테이블 구조:

CREATE TABLE one_time_tokens (
    token_value VARCHAR(255) PRIMARY KEY,
    username VARCHAR(255) NOT NULL,
    issued_at TIMESTAMP NOT NULL,
    expires_at TIMESTAMP NOT NULL,
    used BOOLEAN NOT NULL
);

맞춤형 구현

토큰 생성 및 검증 프로세스를 더 효과적으로 제어하려면 사용자 정의 구현을 생성할 수 있습니다.

1. 토큰 개체 및 저장소

@Entity
@Table(name = "one_time_tokens")
public class OneTimeToken {
    @Id
    @GeneratedValue
    private Long id;

    private String tokenValue;
    private String username;
    private LocalDateTime createdAt;
    private LocalDateTime expiresAt;
    private boolean used;

    // Getters and setters omitted for brevity
}

@Repository
public interface OneTimeTokenRepository extends JpaRepository<onetimetoken long> {
    Optional<onetimetoken> findByTokenValueAndUsedFalse(String tokenValue);
    void deleteByExpiresAtBefore(LocalDateTime dateTime);
}
</onetimetoken></onetimetoken>

2. 맞춤형 토큰 서비스

@Service
@Transactional
public class PersistentOneTimeTokenService implements OneTimeTokenService {
    private static final int TOKEN_VALIDITY_MINUTES = 15;

    @Autowired
    private OneTimeTokenRepository tokenRepository;

    @Override
    public OneTimeToken generate(GenerateOneTimeTokenRequest request) {
        String tokenValue = UUID.randomUUID().toString();
        LocalDateTime now = LocalDateTime.now();

        OneTimeToken token = new OneTimeToken();
        token.setTokenValue(tokenValue);
        token.setUsername(request.getUsername());
        token.setCreatedAt(now);
        token.setExpiresAt(now.plusMinutes(TOKEN_VALIDITY_MINUTES));
        token.setUsed(false);

        return return new DefaultOneTimeToken(token.getTokenValue(),token.getUsername(), Instant.now());
    }

    @Override
    public Authentication consume(ConsumeOneTimeTokenRequest request) {
        OneTimeToken token = tokenRepository.findByTokenValueAndUsedFalse(request.getTokenValue())
            .orElseThrow(() -> new BadCredentialsException("Invalid or expired token"));

        if (token.getExpiresAt().isBefore(LocalDateTime.now())) {
            throw new BadCredentialsException("Token has expired");
        }

        token.setUsed(true);
        tokenRepository.save(token);

        UserDetails userDetails = loadUserByUsername(token.getUsername());
        return new UsernamePasswordAuthenticationToken(
            userDetails, null, userDetails.getAuthorities());
    }
}

토큰 전달 구현

Spring Security는 토큰 전달을 처리하지 않으므로 이를 구현해야 합니다.

@Component
public class EmailMagicLinkHandler implements OneTimeTokenGenerationSuccessHandler {
    @Autowired
    private JavaMailSender mailSender;

    private final OneTimeTokenGenerationSuccessHandler redirectHandler = 
        new RedirectOneTimeTokenGenerationSuccessHandler("/ott/check-email");

    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response, 
                      OneTimeToken token) throws IOException, ServletException {
        String magicLink = UriComponentsBuilder.fromHttpUrl(UrlUtils.buildFullRequestUrl(request))
            .replacePath(request.getContextPath())
            .replaceQuery(null)
            .fragment(null)
            .path("/login/ott")
            .queryParam("token", token.getTokenValue())
            .toUriString();

        SimpleMailMessage message = new SimpleMailMessage();
        message.setTo(getUserEmail(token.getUsername()));
        message.setSubject("Your Sign-in Link");
        message.setText("Click here to sign in: " + magicLink);

        mailSender.send(message);
        redirectHandler.handle(request, response, token);
    }
}

URL 및 페이지 사용자 정의

Spring Security는 다양한 사용자 정의 옵션을 제공합니다.

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login/**", "/ott/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(Customizer.withDefaults())
            .oneTimeTokenLogin(Customizer.withDefaults());  // Uses InMemoryOneTimeTokenService by default

        return http.build();
    }
}

생산 고려 사항

프로덕션에 OTT 인증을 배포하는 경우:

1. 올바른 구현 선택

   • 프로덕션을 위해 JdbcOneTimeTokenService 또는 사용자 정의 구현 사용
   • InMemoryOneTimeTokenService는 개발/테스트용으로만 사용해야 합니다

2. 이메일 전달 구성
   

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Autowired
    JdbcTemplate jdbcTemplate;

    @Bean
    public OneTimeTokenService oneTimeTokenService() {
        return new JdbcOneTimeTokenService(jdbcTemplate);
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login/**", "/ott/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(Customizer.withDefaults())
            .oneTimeTokenLogin(Customizer.withDefaults());

        return http.build();
    }
}

1. 보안 모범 사례
   • 적절한 토큰 만료 시간 설정(15분 권장)
   • 토큰 생성 속도 제한 구현
   • 모든 엔드포인트에 HTTPS 사용
   • 실패한 인증 시도 모니터링
   • 토큰은 일회용이고 사용 후 즉시 무효화되는지 확인하세요
   • 만료된 토큰 자동 정리 구현
   • 추측 방지를 위해 안전한 무작위 토큰 생성을 사용하세요

작동 방식

1. 사용자는 이메일 주소를 제출하여 토큰을 요청합니다
2. 시스템이 보안 토큰을 생성하고 이메일을 통해 매직 링크를 보냅니다
3. 사용자가 링크를 클릭하면 토큰 제출 페이지로 리디렉션됩니다
4. 시스템은 토큰의 유효성을 검사하고 유효한 경우 사용자를 인증합니다

결론

Spring Security의 OTT 지원은 안전하고 사용자 친화적인 인증을 구현하기 위한 강력한 기반을 제공합니다. 내장된 구현을 선택하든 맞춤형 솔루션을 생성하든 높은 보안 표준을 유지하면서 사용자에게 비밀번호 없는 로그인 옵션을 제공할 수 있습니다.

OTT 인증을 구현할 때 다음 사항을 기억하세요.

• 귀하의 환경에 적합한 구현을 선택하세요
• 보안 토큰 전달 구현
• 적절한 토큰 만료 구성
• 보안 모범 사례 따르기
• 사용자 친화적인 오류 처리 및 리디렉션 만들기
• 전문적인 느낌을 위해 적절한 이메일 템플릿 구현

이 가이드를 따르면 Spring Security의 강력한 보안 기능을 활용하면서 애플리케이션 요구 사항을 충족하는 안전하고 사용자 친화적인 OTT 인증 시스템을 구현할 수 있습니다.

참조: https://docs.spring.io/spring-security/reference/servlet/authentication/onetimetoken.html

위 내용은 Spring Security로 일회성 토큰 인증 구현의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!