[Spring] Spring Security6 filterchain 사용시 jsp 뷰 렌더링 설정

1. 현상

스프링부트 3.*.* 버전 업을 하며 Spring Security6으로 업데이트 중이다.

더 이상 지원하지 않는 WebSecurityConfigurerAdapter를 SecurityFilterChain으로 변경 시 포워딩되는 jsp 파일 경로가 필터에 걸려 노출되지 않는 현상이 발생하였다.

1-1. 기존 샘플 소스

@Configuration
public class SecurityConfig  {
    @Bean
    public SecurityFilterChain config(HttpSecurity http) throws Exception {
       http.authorizeHttpRequests((auth) -> auth
          .requestMatchers("/").permitAll()
          .anyRequest().authenticated()
      );

}

 

기존과 같이 "/" 경로에 대한 권한을 부여하였지만, jsp 경로에 대한 권한부족으로 페이지 접근에 실패하였다.

2. 원인 

Spring Security 5.8 and earlier only perform authorization once per request. This means that dispatcher types like FORWARD and INCLUDE that run after REQUEST are not secured by default.

 

Spring Security6 에서 페이지 전환 시 forwards, includes의 타입의 요청이 security filter에 기본적으로 포함되게 변경되었다.

3. 해결

3-1. forwards/includes 타입 요청을 허용하도록 수정 (스프링 공식문서 참고)

@Configuration
public class SecurityConfig  {
    @Bean
    public SecurityFilterChain config(HttpSecurity http) throws Exception {
       http.authorizeHttpRequests((auth) -> auth
          .requestMatchers("/").permitAll()
          .dispatcherTypeMatchers(DispatcherType.FORWARD).permitAll()
          .dispatcherTypeMatchers(DispatcherType.INCLUDE).permitAll()
          .anyRequest().authenticated()
      );

}

3-2. jsp 파일 경로 (ex. /WEB-INF/view/*)를 허용하도록 수정

 @Bean
    public SecurityFilterChain config(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests((auth) -> auth
                        .requestMatchers("/", "/WEB-INF/view/**").permitAll()
                        .anyRequest().authenticated()
                );

        return http.build();
    }

 

 

 

참고

https://docs.spring.io/spring-security/reference/5.8/migration/servlet/authorization.html#_permit_forward_when_using_spring_mvc