Merge branch 'main' of https://github.com/silberbullet/jwt-redis-ip-protection-backend

Author: silberbullet

README.md

@@ -1,24 +1,24 @@
 # jwt-redis-ip-protection-backend
 
-> > #### 배경
+>  #### 배경
 > >
 > > 사내 CRM 프로젝트에서 기존 서버 사이드 JSP 프로젝트를 Cilent를 Vue로 전환하면서 Server가 stateless 형식을 가지고 의존성을 분리 시키는 작업이 필요했다.
 > > 일반적인 Spring Security, JWT, Redis 방식으로 보안성을 증가 시키고 분리시키는 기획을 가졌지만 항상 Token 탈취 우려가 있어 Client IP 까지 추가적으로 넣어 해당 컴퓨터로 로그인한 사용자만 우리 서버를 이용하는 방식으로 전략 짜보았다. 이를 전면 개발해보고 개선 사항을 기록한다.
 > > Spring Security + JWT + Redis에 IP 검증을 이용한 보안 필터 개발하기.
 > > JWT 토큰만으로 보안을 지킬 수 있는가 의문을 시작으로 고도화 작업.
 >
-> > #### 목표
+>  #### 목표
 > >
 > > Client가 JWT 토큰을 발급 시 XSS로 인한 토큰 탈취를 방지하기 위한 Cookie HTTPS 설정 추가 ( 브라우저에서 토큰 접근 불가 )
 > > Client가 JWT 토큰을 탈취 당할 시, 토큰에 저장된 IP와 Request IP를 검증을 통해 CSRF를 방지 고도화
 
 ## 목차
 
-1. [분석](##-▶-분석)
-2. [설계](##-▶-설계)
-3. [구현](##-▶-구현)
-4. [테스트](##-▶-테스트)
-5. [Problem-Solving and Key Considerations](##-▶-Problem-Solving-and-Key-Considerations)
+1. [분석](#-분석)
+2. [설계](#-설계)
+3. [구현](#-구현)
+4. [테스트](#-테스트)
+5. [Problem-Solving and Key Considerations](#-Problem-Solving-and-Key-Considerations)
 
 ---
 
@@ -228,18 +228,7 @@ sequenceDiagram
      - dofilter 넘어 가기 전 반드시 token에서 Authentication 객체를 SecurityContextHolder 등록 해줘야 한다.
      - 등록이 없다면 그 뒤에 AnonymousAuthenticationFilter, ExceptionTranslationFilter, AuthorizationFilter에서 요청이 거부되고 403 혹은 401 에러를 반환한다.
      - SecurityContextHolder은 Spring Security 전역 객체라 생각해야한다. 다음 필터들이 인증된 객체를 가지고 security 프로세스를 흘러가기에 요청 쓰레드 마다 인증이 되었다면 인증 객체를 꼭 등록이 필요하다
-     - **Spring Security 공식 문서에도 나와 있지만 SecurityContextHolder는 기본적으로 스레드 로컬 변수를 사용하여 보안 컨텍스트를 관리하는데, SecurityContextHolder.getContext() 메서드를 사용하여 보안 컨텍스트를 설정할 때, 동일한 보안 컨텍스트를 여러 스레드에서 동시에 접근하고 수정할 가능성이 있기에 꼭 한 쓰레드 마다 별도에 SecurityContext 생성하고 등록 해주자**
 
-```Java
-// 인증 객체 발급
-AuthenticationToken authenticationToken = jwtTokenProvider.getAuthenticationToken(accessToken);
-
-SecurityContext context = SecurityContextHolder.createEmptyContext();
-context.setAuthentication(authenticationToken);
-
-// SecurityContextHolder 인증 객체 저장
-SecurityContextHolder.setContext(context);
-```
 
 ### LogOut 구현