[v4] JWT 필터링

• 컨트롤러 메서드 마다 검사 로직 추가하기

• 인터셉터 활용하기

• AOP 활용하기

• 필터에서 처리

1. JWT 검증

2. 세션에 저장

3. 실패시 컨트롤러 진입 하지 않고 리턴.

1. 필터 구성전 살펴보기

@Configuration 
public class FilterConfig {

    public FilterConfig() {
        System.out.println("FilterConfig");
    }

    @Bean
    public User go(){
        System.out.println("user Go");
        return User.builder().id(1).build();
    }

    //
    public FilterRegistration jwtAuthorizationFilter() {
        return null;


    }
}

• @Bean 이 없는 경우
• FilterConfig 만 나옴

• @Bean 이 있는 경우
• FilterConfig 와 user Go 둘 다 나옴.

1.2 필터 코드 구성

• 동작 예시 코드

public class JwtAuthorizarionFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse resp = (HttpServletResponse) response;

        System.out.println("JwtAuthorizarion 필터 동작");
        PrintWriter out = response.getWriter(); //쓰기버퍼
        System.out.println("<h1>good</h1>");
        out.flush();
    }
}

2. 필터 구성하기

• config 코드

@Configuration // ioc 등록 하고 메서드에 @bean 어노테이션 하면 메모리에 등록됨. 리턴값 등록위해 쓰기도함.
public class FilterConfig {

    @Bean
    public FilterRegistrationBean<JwtAuthorizationFilter> jwtAuthenticationFilter() {
        FilterRegistrationBean<JwtAuthorizationFilter> bean
                = new FilterRegistrationBean<>(new JwtAuthorizationFilter());

        bean.addUrlPatterns("/api/*");
        
        // 여기에 오름내림 차순 어떤걸로 시작할 지 골라야함. 마지막 번호 몰라서 처음부터 함.
        bean.setOrder(0);
        return bean;


    }
}

• Filter 코드

public class JwtAuthorizationFilter implements Filter {
    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse response, FilterChain Chain) throws IOException, ServletException {
        HttpServletRequest rq = (HttpServletRequest) servletRequest;
        HttpServletResponse resp = (HttpServletResponse) response;

        String accessToken = rq.getHeader("Authorization");

        if (accessToken == null || accessToken.isBlank()) {
            // resp 해줘야 함
            resp.setHeader("Content-Type", "application/json; charset=utf-8");
            PrintWriter out = resp.getWriter();
            //통신은 객체를 던지면 안된다. fail은 자바객체이다! 필터에서는 인식을 못 한다.
            Resp fail = Resp.fail(401, "Token이 없습니다.");
            String responseBody = new ObjectMapper().writeValueAsString(fail);
            out.print(responseBody);
            out.flush();
            return;
        }
        //try catch 를 쓴 이유는 항상 동일의 형태로 담아주기 위해서..
        try {
            User sessionUser = JwtUtil.verify(accessToken); // 서명이 위조, 만료
            HttpSession session = rq.getSession();
            session.setAttribute("sessionUser", sessionUser);
            Chain.doFilter(rq, resp); // 다음 필터로 가!! 없으면 DS로 감.
        } catch (Exception e) {
            resp.setHeader("Content-Type", "application/json; charset=utf-8");
            PrintWriter out = resp.getWriter();
            //통신은 객체를 던지면 안된다. fail은 자바객체이다! 필터에서는 인식을 못 한다.
            Resp fail = Resp.fail(401, e.getMessage());
            String responseBody = new ObjectMapper().writeValueAsString(fail);
            out.print(responseBody);
            out.flush();
        }
    }
}

3. Postman 활용하여 확인

• 확인

1. 로그인 해야 토큰이 발급된다.

4. 댓글 작성

• JwtUtil

 public static User verify(String jwt){
        jwt = jwt.replace("Bearer ", "");
        DecodedJWT decodedJWT = JWT.require(Algorithm.HMAC512("metacoding")).build().verify(jwt);
        int id = decodedJWT.getClaim("id").asInt();
        String username = decodedJWT.getClaim("username").asString();

        return User.builder()
                .id(id)
                .username(username)
                .build();
    }

1. 댓글 쓰기 요청
상단의 리스폰스 헤더에서 확인한 Authorization 값을 요청 헤더에 넣어준다.

• 서버가 공격받는다면

import java.io.BufferedReader;
import java.io.InputStreamReader;
import java.io.PrintWriter;
import java.net.HttpURLConnection;
import java.net.URL;

public class Attack {
    public static void main(String[] args) {
        String targetUrl = "http://127.0.0.1:8080/api/reply";  // 요청할 URL
        String jsonInputString = """
                    {"boardId":100, "comment":"댓글이다"}
                """;

        for (int i = 0; i < 10000; i++) {
            new Thread(() -> {
                try {
                    URL url = new URL(targetUrl);
                    // HttpURLConnection 객체 생성
                    HttpURLConnection conn = (HttpURLConnection) url.openConnection();

                    // 요청 방식 설정 (POST)
                    conn.setRequestMethod("POST");
                    // 요청에 JSON 형식으로 데이터를 보낸다고 명시
                    conn.setRequestProperty("Content-Type", "application/json; utf-8");
                    conn.setRequestProperty("Authorization", "Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzUxMiJ9.eyJzdWIiOiLrsJTrs7QiLCJpZCI6MSwiZXhwIjoxNzI3NjcyMDQ1LCJ1c2VybmFtZSI6InNzYXIifQ.XJTahPFEbvy8a_RoftAKctxNcknVMec6regFKhqgFKIbfSeUPxCY7ygPNzdEoOvffOcd5eZX0wrTijwIcT2sqA");
                    conn.setDoOutput(true);
                    PrintWriter out = new PrintWriter(conn.getOutputStream());
                    out.println(jsonInputString);
                    out.flush();

                    BufferedReader br = new BufferedReader(
                            new InputStreamReader(conn.getInputStream())
                    );
                    System.out.println(br.readLine());
                } catch (Exception e) {
                    e.printStackTrace();
                }
            }).start();

        }

    }
}