Spring Security Custom Filter

기본 필터

재정의 하는 법

<http ...>
  <custom-filter ref="생성한필터Bean" 위치지시자="위치Alias" />
</http>

웹 애플리케이션에서 사용자 세션 만료 시 로그인 페이지로 강제 이동시키는 경우가 있다.

만약 ajax를 이용하여 서버와의 비동기 방식으로 통신하는 경우 사용자 세션이 만료되어 있다면 이를 어떻게 처리해야 할까?

스프링 시큐리티에서 커스텀 필터를 등록하여 사용자 세션 만료에 대한 exception을 catch한 후 예외 처리 하는 방법으로 ajax 통신에 대한 세션 타임 아웃 체크가 가능하다.

security-context.xml

client에서의 request 요청 시 header name 중 AJAX가 있는지 여부를 체크하기 위해서 ajaxHeader property 셋팅

AjaxSessionTimeoutFilter.java

로그인 된 사용자의 세션이 만료되면 spring security에서는 AccessDeniedException 예외를 발생시키고 AjaxSessionTimeoutFilter가 이를 catch하여 response로 에러 코드 403을 return한다.

jsp

jquery-common.js

모든  ajax 요청 전 beforeSend 함수가 호출되고 request 헤더에 AJAX를 셋팅해 준다.

ajax 요청 후 사용자 세션이 만료되어 있다면 HTTP status 403을 return하게 되고, client는 이를 받아 로그인 페이지로 이동시키면 되는 것이다.

$.ajaxSetup의 error function 에서 모든 ajax 요청에 대한 error를 처리하기 때문에 해당 코드를 외부 js로 분리한 후 공통 js로 사용한다면 중복 코드 없이 ajax session timeout 체크가 가능할 것이다.

import java.util.Locale;
import org.springframework.context.i18n.LocaleContextHolder;

public class LocaleTest {
 public Locale getLocale() {
 return LocaleContextHolder.getLocale();
 }
}

스프링에서 다국어를 처리하려면

LocaleChangeInterceptor + messageSource

조합으로 가능하다.
국가별로 페이지들 별도로 만드는짓은 더이상 하지 말자.

만약 서버단에서 위의 조합으로 다국어 처리된 문자열을
jsp단으로 보내주고 싶을 경우에는
추가로 taglib를 사용하면 된다.

1. LocaleResolver

말그대로 현재 접속된 사용자에게 적합한 언어셋을 제공하기 위해
브라우저의 useragent 값이나 쿠키, 세션을 통해 locale 값을 처리한다.
그래서 우선 해당 xml에 아래처럼 추가해준다.

<applicationContext.xml>

<mvc:interceptors>  
        <bean  id="localeChangeInterceptor" class="org.springframework.web.servlet.i18n.LocaleChangeInterceptor">
            <property name="paramName" value="lang"></property>
        </bean>
</mvc:interceptors>

<bean id="localeResolver"  class="org.springframework.web.servlet.i18n.CookieLocaleResolver"/>

localeResolver의 종류는 3가지가 있다.
defalut는 AceeptHeaderLocaleResolver이다.
reqest 헤더의 accept-language부분에서 locale을 읽어온다.
나머지는 이름 그대로 쿠키나 세션을 사용한다.

<bean id="localeResolver"font-size:12px;">AcceptHeaderLocaleResolver" />

<bean id="localeResolver"
   font-size:12px;">CookieLocaleResolver" >
    <property name="cookieName" value="clientlanguage"/>    
    <property name="cookieMaxAge" value="100000"/>
    <property name="cookiePath" value="web/cookie"/>
</bean>

<bean id="localeResolver"
   font-size:12px;">SessionLocaleResolver" />

2. MessageSource

locale값이 정해지면 Spring에서해는 해당 locale의 messagesource의 값으로 변환해서 돌려준다.
그래서 우선 localechangeinterceptor처럼 xml에 등록먼저 해주자.

<bean id="messageSource" class="org.springframework.context.support.ReloadableResourceBundleMessageSource">
        <property name="basename" value="WEB-INF/messages/Messages"/>
        <property name="defaultEncoding" value="UTF-8" />
        <property name="cacheSeconds" value="180"/>
</bean>

※ basename : Messages 파일 위치

본인의 설정에서는
WEB-INF/messages폴더밑에
‘Messages_[locale]’ 형태의 파일을 만들었다.

ko와 en두가지 버전이 있다.
만약 locale값이 ko,en이 아닐 경우
맨 마지막에 있는 Message.properties를 참조하게 된다.

왼쪽은 변수명이고,
오른쪽은 locale값이 ko 일경우에
돌려주는 값이다.
Messages 파일에서는 영어가 아닐 경우
자동으로 유니코드값으로 변환되어 기록된다.
그러나 출력시에는 저렇게 유니코드값이 아닌 정상적으로 출력된다.

3. message 호출

위처럼 만들고 써먹으려면 아래 함수를 호출하면 된다.
code는 2번에서 작성한 좌측의 변수명이고
locale은 말그대로 locale이다

import org.springframework.context.MessageSource;
......
messageSource.getMessage(code, null, locale)

임의적으로 locale값을 설정하고 싶으면

localeResolver.setLocale(request, response, Locale.KOREA);

처럼 하면 된다.

4. jsp에서 처리 (taglib)

localeResolver와 message 프로퍼티 설정이 끝나면
jsp에서도 바로 다국어 처리가 가능하다.

우선 jsp 상단에

<%@ taglib uri="http://www.springframework.org/tags" prefix="spring"%>

를 추가하고,
다국어 처리가 필요한 부분에

<spring:message code="code_name"/>

를 삽입해주면 된다.

만약 한명의 유저가 여러번 로그인하는 것을 막고 싶다면 아래와 같이 설정한다.

먼저 web.xml 에 listener를 등록한다.

<listener>
    <listener-class>
      org.springframework.security.web.session.HttpSessionEventPublisher
    </listener-class>
  </listener>

다음으로 Application Context에 아래 태그를 추가한다.

  <http>
    ...
    <session-management>
        <concurrency-control max-sessions="1" />
    </session-management>
  </http>

이렇게 하면 두번째 로그인 시 먼저 로그인한 것은 무효화된다.

만약 나중에 로그인 한 것을 막고 싶다면 아래와 같이 설정한다.

  <http>
    ...
    <session-management>
        <concurrency-control max-sessions="1" error-if-maximum-exceeded="true" />
    </session-management>
  </http>

이러한 설정으로 인해 거부된 사용자는 form-based login방식이 쓰여지고 있다면 authentication-failure-url 로 보내지게 되는데, 그렇지 않다면 402에러와 같은 내용이 사용자에게 전달된다. 만약 에러페이지를 설정하고 싶다면, session-management 요소에 session-authentication-error-url 속성을 추가하면 된다.