Spring Security로 일회성 토큰 인증 구현-java지도 시간-php.cn

Implementing One-Time Token Authentication with Spring Security

오늘날의 디지털 환경에서는 안전하고 사용자 친화적인 인증 방법을 제공하는 것이 중요합니다. 인기를 얻고 있는 방법 중 하나는 이메일을 통해 전송되는 "마법 링크"로 구현되는 OTT(일회성 토큰) 인증입니다. Spring Security 6.4.0은 즉시 사용 가능한 구현을 포함하여 OTT 인증을 위한 강력한 내장 지원을 제공합니다. 이 종합 가이드에서는 내장 솔루션과 맞춤형 구현을 모두 사용하여 보안 OTT 인증을 구현하는 방법을 살펴보겠습니다.

일회용 토큰과 일회용 비밀번호의 이해

구현을 시작하기 전에 일회용 토큰(OTT)이 일회용 비밀번호(OTP)와 다르다는 점을 이해하는 것이 중요합니다. OTP 시스템은 일반적으로 초기 설정이 필요하고 비밀번호 생성을 위해 외부 도구에 의존하는 반면, OTT 시스템은 사용자 관점에서 더 간단합니다. 인증에 사용할 수 있는 고유한 토큰(일반적으로 이메일을 통해)을 받습니다.

주요 차이점은 다음과 같습니다.

OTT는 초기 사용자 설정이 필요하지 않습니다
토큰은 애플리케이션에 의해 생성되고 전달됩니다
각 토큰은 일반적으로 한 번만 사용할 수 있으며 설정된 시간이 지나면 만료됩니다

사용 가능한 내장 구현

Spring Security는 OneTimeTokenService의 두 가지 구현을 제공합니다.

InMemoryOneTimeTokenService:
- 토큰을 메모리에 저장
- 개발 및 테스트에 적합
- 프로덕션 또는 클러스터링 환경에는 적합하지 않습니다
- 애플리케이션을 다시 시작하면 토큰이 손실됩니다
JdbcOneTimeTokenService:
- 데이터베이스에 토큰을 저장합니다
- 제작용으로 적합
- 클러스터 환경에서 작동
- 자동 정리를 통한 영구 저장

InMemoryOneTimeTokenService 사용

더 간단한 인메모리 솔루션을 구현하는 방법은 다음과 같습니다.

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login/**", "/ott/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(Customizer.withDefaults())
            .oneTimeTokenLogin(Customizer.withDefaults());  // Uses InMemoryOneTimeTokenService by default

        return http.build();
    }
}

로그인 후 복사

JdbcOneTimeTokenService 사용

프로덕션 환경의 경우 JDBC 구현을 사용하세요.

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Autowired
    JdbcTemplate jdbcTemplate;

    @Bean
    public OneTimeTokenService oneTimeTokenService() {
        return new JdbcOneTimeTokenService(jdbcTemplate);
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login/**", "/ott/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(Customizer.withDefaults())
            .oneTimeTokenLogin(Customizer.withDefaults());

        return http.build();
    }
}

로그인 후 복사

JdbcOneTimeTokenService에 필요한 테이블 구조:

CREATE TABLE one_time_tokens (
    token_value VARCHAR(255) PRIMARY KEY,
    username VARCHAR(255) NOT NULL,
    issued_at TIMESTAMP NOT NULL,
    expires_at TIMESTAMP NOT NULL,
    used BOOLEAN NOT NULL
);

로그인 후 복사

맞춤형 구현

토큰 생성 및 검증 프로세스를 더 효과적으로 제어하려면 사용자 정의 구현을 생성할 수 있습니다.

1. 토큰 개체 및 저장소

@Entity
@Table(name = "one_time_tokens")
public class OneTimeToken {
    @Id
    @GeneratedValue
    private Long id;

    private String tokenValue;
    private String username;
    private LocalDateTime createdAt;
    private LocalDateTime expiresAt;
    private boolean used;

    // Getters and setters omitted for brevity
}

@Repository
public interface OneTimeTokenRepository extends JpaRepository<OneTimeToken, Long> {
    Optional<OneTimeToken> findByTokenValueAndUsedFalse(String tokenValue);
    void deleteByExpiresAtBefore(LocalDateTime dateTime);
}

로그인 후 복사

2. 맞춤형 토큰 서비스

@Service
@Transactional
public class PersistentOneTimeTokenService implements OneTimeTokenService {
    private static final int TOKEN_VALIDITY_MINUTES = 15;

    @Autowired
    private OneTimeTokenRepository tokenRepository;

    @Override
    public OneTimeToken generate(GenerateOneTimeTokenRequest request) {
        String tokenValue = UUID.randomUUID().toString();
        LocalDateTime now = LocalDateTime.now();

        OneTimeToken token = new OneTimeToken();
        token.setTokenValue(tokenValue);
        token.setUsername(request.getUsername());
        token.setCreatedAt(now);
        token.setExpiresAt(now.plusMinutes(TOKEN_VALIDITY_MINUTES));
        token.setUsed(false);

        return return new DefaultOneTimeToken(token.getTokenValue(),token.getUsername(), Instant.now());
    }

    @Override
    public Authentication consume(ConsumeOneTimeTokenRequest request) {
        OneTimeToken token = tokenRepository.findByTokenValueAndUsedFalse(request.getTokenValue())
            .orElseThrow(() -> new BadCredentialsException("Invalid or expired token"));

        if (token.getExpiresAt().isBefore(LocalDateTime.now())) {
            throw new BadCredentialsException("Token has expired");
        }

        token.setUsed(true);
        tokenRepository.save(token);

        UserDetails userDetails = loadUserByUsername(token.getUsername());
        return new UsernamePasswordAuthenticationToken(
            userDetails, null, userDetails.getAuthorities());
    }
}

로그인 후 복사

토큰 전달 구현

Spring Security는 토큰 전달을 처리하지 않으므로 이를 구현해야 합니다.

@Component
public class EmailMagicLinkHandler implements OneTimeTokenGenerationSuccessHandler {
    @Autowired
    private JavaMailSender mailSender;

    private final OneTimeTokenGenerationSuccessHandler redirectHandler = 
        new RedirectOneTimeTokenGenerationSuccessHandler("/ott/check-email");

    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response, 
                      OneTimeToken token) throws IOException, ServletException {
        String magicLink = UriComponentsBuilder.fromHttpUrl(UrlUtils.buildFullRequestUrl(request))
            .replacePath(request.getContextPath())
            .replaceQuery(null)
            .fragment(null)
            .path("/login/ott")
            .queryParam("token", token.getTokenValue())
            .toUriString();

        SimpleMailMessage message = new SimpleMailMessage();
        message.setTo(getUserEmail(token.getUsername()));
        message.setSubject("Your Sign-in Link");
        message.setText("Click here to sign in: " + magicLink);

        mailSender.send(message);
        redirectHandler.handle(request, response, token);
    }
}

로그인 후 복사

URL 및 페이지 사용자 정의

Spring Security는 다양한 사용자 정의 옵션을 제공합니다.

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login/**", "/ott/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(Customizer.withDefaults())
            .oneTimeTokenLogin(Customizer.withDefaults());  // Uses InMemoryOneTimeTokenService by default

        return http.build();
    }
}

로그인 후 복사

생산 고려 사항

프로덕션에 OTT 인증을 배포하는 경우:

올바른 구현 선택
- 프로덕션을 위해 JdbcOneTimeTokenService 또는 사용자 정의 구현 사용
- InMemoryOneTimeTokenService는 개발/테스트용으로만 사용해야 합니다
이메일 전달 구성

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Autowired
    JdbcTemplate jdbcTemplate;

    @Bean
    public OneTimeTokenService oneTimeTokenService() {
        return new JdbcOneTimeTokenService(jdbcTemplate);
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login/**", "/ott/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(Customizer.withDefaults())
            .oneTimeTokenLogin(Customizer.withDefaults());

        return http.build();
    }
}

로그인 후 복사

보안 모범 사례
- 적절한 토큰 만료 시간 설정(15분 권장)
- 토큰 생성 속도 제한 구현
- 모든 엔드포인트에 HTTPS 사용
- 실패한 인증 시도 모니터링
- 토큰은 일회용이고 사용 후 즉시 무효화되는지 확인하세요
- 만료된 토큰 자동 정리 구현
- 추측 방지를 위해 안전한 무작위 토큰 생성을 사용하세요