spring security 403 에러 해결!!!

호야투은하 2024. 6. 5. 14:16

현재 나는 게시판을 만들고 있다.

로그인한 관리자는 글 작성, 조회, 수정, 삭제 모두 가능하게 만들고,

로그인하지 않은 익명의 일반 사용자는 글 작성과 조회만 가능하도록 하는 기능을 만들고 있다.

그렇게 이것저것 구현을 했는데, 어느순간부터 계속 403 FORBIDDEN 에러가 나는 것이 아닌가!!!

Spring Security 설정 부분에 나는 403 FORBIDDEN 에러를 특정 상황에 발생시키도록 설정해두었다.

아래와 같은 형식으로 말이다.

package com.hoya.mannaback.config;

import java.io.IOException;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.HttpMethod;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.AuthenticationEntryPoint;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;

import com.hoya.mannaback.filter.JwtAuthenticationFilter;

import jakarta.servlet.ServletException;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import lombok.RequiredArgsConstructor;

@Configuration
@EnableWebSecurity
@RequiredArgsConstructor
public class SecurityConfig {

        private final JwtAuthenticationFilter jwtAuthenticationFilter;

        @Bean
        public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {

                // csrf disable
                http
                                .csrf((auth) -> auth.disable());

                // http basic 인증 방식 disable
                http
                                .httpBasic((auth) -> auth.disable());

                // 경로별 인가 작업
                http
                                .authorizeHttpRequests(auth -> {
                                        try {
                                                auth.requestMatchers(HttpMethod.GET, "/", "/api/v1/board/list",
                                                                "/api/v1/board/detail/**", "/file/**",
                                                                "/api/v1/user/**")
                                                                .permitAll()
                                                                .requestMatchers(HttpMethod.POST, "/api/v1/board/post",
                                                                                "/api/v1/auth/sign-up",
                                                                                "/api/v1/auth/sign-in",

                                                                                "/file/upload")

                                                                .permitAll()
                                                                // admin 권한이 있는 사용자만 허용되는 요청
                                                                .requestMatchers(HttpMethod.PATCH,
                                                                                "/api/v1/board/update/**")
                                                                .hasRole("ADMIN")
                                                                .requestMatchers(HttpMethod.DELETE,
                                                                                "/api/v1/board/detail/**")
                                                                .hasRole("ADMIN")
                                                                // 나머지 요청은 인증을 필요로 함
                                                                .anyRequest().authenticated().and()
                                                                .exceptionHandling()
                                                                .authenticationEntryPoint(
                                                                                new FailedAuthenticationEntryPoint());

                                        } catch (Exception e) {
                                                e.printStackTrace();
                                        }
                                });

                // 세션 설정
                http
                                .sessionManagement((session) -> session
                                                .sessionCreationPolicy(SessionCreationPolicy.STATELESS));

                http.addFilterBefore(jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);

                return http.build();
        }
}

class FailedAuthenticationEntryPoint implements AuthenticationEntryPoint {

        @Override
        public void commence(HttpServletRequest request, HttpServletResponse response,
                        AuthenticationException authException) throws IOException, ServletException {

                response.setContentType("application/json");
                response.setStatus(HttpServletResponse.SC_FORBIDDEN);
                response.getWriter().write("{ \"code\": \"NP\", \"message\":\"Do not have a permission.\" }");

        }

}