[SpringBoot3/Kotlin] JWT + SpringSecurity를 활용한 회원 API 구현 (1) - 설정 및 회원가입

 💡 JWT + SpringSecurity를 사용하여 회원가입 Rest API 구현

 

➡️ 2탄 바로가기: JWT 로그인 및 회원 정보 조회

➡️ 3탄 바로가기: Refresh Token

---

개발환경

• SpringBoot 3.1.4
• kotlin / java 17
• MariaDB

기본 JPA 설정은 다루지 않는다. 미리 설정한 상태의 프로젝트임을 가정!!!

---

1. build.gradle.kts 설정

dependencies {
	...
	implementation("org.springframework.boot:spring-boot-starter-security")

	implementation("io.jsonwebtoken:jjwt-api:0.11.5")
	runtimeOnly("io.jsonwebtoken:jjwt-impl:0.11.5")
	runtimeOnly("io.jsonwebtoken:jjwt-jackson:0.11.5")
}

• spring security 및 jwt 관련 dependency 추가

 

2. Spring Security 기본 설정

Spring Security의 기본 설정을 담을 Config 파일 생성

@Configuration
class SecurityConfig{
    @Bean
    fun filterChain(http: HttpSecurity): SecurityFilterChain =
        http
            .httpBasic { it.disable() }
            .csrf { it.disable() }
            .sessionManagement { it.sessionCreationPolicy(SessionCreationPolicy.STATELESS) }
            .authorizeHttpRequests {
                it.requestMatchers("/auth/**", "/swagger-ui/**", "/v3/api-docs/**").permitAll()
                    .anyRequest().authenticated()
            }
            .build()
}

 

• `httpBasic{ it.disable() }`
  • HttpBasic 기본 로그인 인증창 사용 여부
  • API 서버로 별도의 로그인 인증창 불필요
• `csrf{ it.disable() }`
  • 사이트 간 위조 요청 차단 여부
  • API 서버로 서버에 인증 정보를 저장하지 않기 때문에 불필요
• `sessionManagement { it.sessionCreationPolicy(SessionCreationPolicy.STATELESS) }`
  • 세션 정책 설정
  • JWT Token으로 인증하기 때문에 세션을 사용하지 않으므로 STATELESS 설정
• ` requestMatchers("...").permitAll()`
  • 작성한 url은 인증을 사용하지 않고, 모두 접속 허용
  • 대부분 swagger문서나 로그인 및 회원가입 페이지를 설정한다.
• `.anyRequest().authenticated()`
  • 설정한 requestMatchers 외 모든 요청은 인증된 사용자에게만 접근 허용

암호화 설정

Spring Security의 PasswordEncoder를 구현한 클래스를 빈으로 추가

• 가장 강력한 암호화 모듈인 `BCryptPasswordEncoder()` 로 생성

@Configuration
class SecurityConfig{
    ...
    @Bean
    fun passwordEncoder() = BCryptPasswordEncoder()
}

 

3. Member Entity 및 Repository 생성

회원 정보를 담을 Member Entity 생성

@Entity
class Member(
    @Id
    @GeneratedValue(strategy = GenerationType.UUID)
    val id: UUID? = null,	// 앱 내에서 사용되는 사용자의 고유키

    @Column(nullable = false, unique = true)	// 중복을 허용하지 않음
    val email: String,		// 로그인 시 사용되는 사용자의 email

    @Column(nullable = false)
    val password: String,

    val name: String,	// 앱 내에서 사용되는 사용자의 닉네임

    @Enumerated(value = EnumType.STRING)
    val type: MemberType = MemberType.MEMBER,	// 사용자의 타입 (Member, Admin..)
    
    val createdAt: LocalDateTime = LocalDateTime.now()
)

• 기존에 회원을 담을 객체 명을 User 로 지정하였으나, SpringSecurity에서 사용되는 User 와 혼용되기 때문에 Member로 변경

MemberRepository 생성

interface MemberRepository : JpaRepository<Member, UUID> {
    fun findByEmail(email: String?): Member?
}

• `JpaRepository`를 상속
• 해당 프로젝트에선 email 이 Member를 특정할 key 값이 되기 때문에 findByEmail 메소드 추가

 

4. 회원가입

SignController 생성

@RequestMapping("/auth")
@RestController
class SignController(
    private val signService: SignService
) {
    @PostMapping("/sign-up")
    fun singUp(@RequestBody singUpRequest: SingUpRequest): BaseResponse<String> =
        signService.signUp(singUpRequest).run {
            BaseResponse(this)	// "SUCCESS!"
        }
}

data class SingUpRequest(
    val email: String,
    val password: String,
    val name: String
)

• 회원가입에 필요한 유저 정보를 담을 Request DTO 생성
• DTO를 회원가입을 처리하는 service로 전달

SignService 생성

@Service
class SignService(
    private val memberRepository: MemberRepository,
    private val memberRoleRepository: MemberRoleRepository,
    private val passwordEncoder: PasswordEncoder
) {
    fun signUp(singUpRequest: SingUpRequest): String {
        // (1)
        memberRepository.findByEmail(singUpRequest.email)?.let {
            throw DuplicateKeyException("Already Exists")
        }
				
        // (2)
        val member = Member(
            email = singUpRequest.email,
            password = passwordEncoder.encode(singUpRequest.password),
            name = singUpRequest.name
        )
        memberRepository.save(member)
        

        return "Success!"
    }
}

 

(1) 중복 이메일 체크

• 해당 프로젝트에서 email은 Member를 구분하는 Key값으로 쓰이기 때문에, 중복을 허용하지 않는다
• 이미 해당 이메일을 가진 Member가 있을 경우, `DuplicateKeyException`을 뱉음

(2) Member 생성

• Controller로부터 받은 DTO 정보로 Member 객체를 생성한다.
• 사용자가 입력한 password를 그대로 저장할 수 없기 떄문에 passwordEncoder를 통해 인코딩 된 값으로 password를 저장

---

회원가입 요청

 

requestMatchers 설정된 url 외 요청일 경우 403

---

✔️코드는 아래에서✔️

https://github.com/jeongum/spring-security-kotlin

GitHub - jeongum/spring-security-kotlin