http://www.hanbit.co.kr/network/view.html?bi_id=547    SSH 터널링 상세이론글 

url 이 깨졌다면 한빛출판네트워크로 가서 검색에서 SSH Tunneling 으로 검색~

http://www.gamedevforever.com/47   <-- 실전에서 알아보는 홀펀칭 기법 

http://www.sysnet.pe.kr/2/0/1226 <-- 정말 쉽게 잘 설명된 홀펀칭 기초 

Remember Me 기능 

 Remember Me 기능이란 사용자 세션이 종료(디폴트 30분?) 된 후에도 자동으로 로그인 할수있는 기능이다.  
 이것은 추가적인  쿠키를 저장  하는데 , 그 기간(디폴트 2주) 을 정하면 2주동안은 로그인 하지 않고도 인증할수있게된다.  쿠키는 username / expirationTime / password  / key 와  이것들을  MD5 hash 로 인코딩한 정보를  포함한다.Remember Me 는 2가지 방법으로 구현가능한데 , 이 게시물에서는 심플 해쉬 기반 쿠키로 만들었다. 

<?xml version="1.0" encoding="UTF-8"?>

<beans:beans xmlns="http://www.springframework.org/schema/security"

  xmlns:beans="http://www.springframework.org/schema/beans"

  xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

  xsi:schemaLocation="http://www.springframework.org/schema/beans

           http://www.springframework.org/schema/beans/spring-beans-3.2.xsd

           http://www.springframework.org/schema/security

           http://www.springframework.org/schema/security/spring-security-3.2.xsd">

<http auto-config='true'  use-expressions="true">      

<intercept-url pattern="/login" access="permitAll" />   

<intercept-url pattern="/resources/**" access="permitAll" />  

<intercept-url pattern="/**" access="hasRole('ROLE_USER')" />  

<form-login login-page="/login"                    

default-target-url="/monitering"          

username-parameter="username"        

password-parameter="password"          

authentication-failure-url="/login?error" 

always-use-default-target='true'           

/> 

<logout invalidate-session="true"   

 delete-cookies="JSESSIONID,SPRING_SECURITY_REMEMBER_ME_COOKIE"  

logout-success-url="/login?logout" /> 

<remember-me key="wmoskey" token-validity-seconds="2419200"/> <!-- 4 주 -->

<!-- enable csrf protection -->

<csrf/> 

</http> 

        <authentication-manager>

    <authentication-provider user-service-ref="memberService"/> 

</authentication-manager>

<beans:bean id="memberService" class="com.company.wmos.auth.MemberService"> 

    </beans:bean>

</beans:beans>

만들던 웹어플리케이션에 인증(로그인)기능을 추가하게되었다.  추가했던 과정을 그대로 보여주는 게시글이다.
15년전에 홈페이지 (디아블로2 펜페이지)  를 처음 개발 했었을때 로그인방식은 ID/PWD 를 FORM 기반으로 
서버로 보내면 , 서버는 ID/PWD 를 확인하여  세션에 등록한후에, 요청이 오면 세션을 확인하여 존재하면 보여주고 , 
없으면 로그인창으로 리다이렉트 시켰던것으로 기억한다. 대규모 웹SI 개발을 해보지 않아서 요즘 트랜드가 어떤지 잘모르지만 스프링이 대세니깐 스프링 보안으로 해본다. :-) 프레임워크를 사용함으로써 고난이도의 구현 과 사상을 쉽게 가져다 쓸수있게 되었다. 

1. 기본 환경설정  (POM.XML /  WEB.XML /  Security-context.XML )

2. 로그인 인증 시스템  (로그인페이지등 제작) 

3. 인터셉터를 통한 권한 설정  (ROLE_USER)

3. DB 를 통한 사용자 정보 획득 기술  

4. CSRF 보안

 <!-- Spring Security -->

        <dependency>

            <groupId>org.springframework.security</groupId>

            <artifactId>spring-security-web</artifactId>

            <version>3.2.3.RELEASE</version>

        </dependency>

        <dependency>

            <groupId>org.springframework.security</groupId>

            <artifactId>spring-security-config</artifactId>

            <version>3.2.3.RELEASE</version>

        </dependency>   

<context-param>

<param-name>contextConfigLocation</param-name>

<param-value>

/WEB-INF/spring/root-context.xml

/WEB-INF/spring/security-context.xml       <--- 추가 

</param-value>

</context-param>

<!-- Security filter 추가 -->

    <filter>

        <filter-name>springSecurityFilterChain</filter-name>

        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>

    </filter>   

    <filter-mapping>

        <filter-name>springSecurityFilterChain</filter-name>

        <url-pattern>/*</url-pattern>

    </filter-mapping>

<?xml version="1.0" encoding="UTF-8"?>

<beans:beans xmlns="http://www.springframework.org/schema/security"

  xmlns:beans="http://www.springframework.org/schema/beans"

  xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

  xsi:schemaLocation="http://www.springframework.org/schema/beans

           http://www.springframework.org/schema/beans/spring-beans-3.2.xsd

           http://www.springframework.org/schema/security

           http://www.springframework.org/schema/security/spring-security-3.2.xsd">

<http auto-config='true'  use-expressions="true">      ---------- (1)

<intercept-url pattern="/login" access="permitAll" />   ---------- (2)

<intercept-url pattern="/resources/**" access="permitAll" />  ---------- (3)

<intercept-url pattern="/**" access="hasRole('ROLE_USER')" />  ---------- (4)

<form-login login-page="/login"                     ---------- (5)

default-target-url="/monitering"            ---------- (6)

username-parameter="username"         ---------- (7)

password-parameter="password"          ---------- (8)

authentication-failure-url="/login?error"  --------- (9)

always-use-default-target='true'             --------- (10)

/> 

 <logout invalidate-session="true" logout-url="/logout"   logout-success-url="/login?logout" /> - (11)

<!-- enable csrf protection -->

<csrf/>   ---------- (12)

</http> 

        <authentication-manager> ---------- (13)

   <authentication-provider user-service-ref="memberService"/> ---------- (14)

</authentication-manager>

<beans:bean id="memberService" class="com.company.wmos.auth.MemberService"> ---------- (15)

    </beans:bean>

</beans:beans>=

- use-expressions="true"를 설정하지 않으면 default 가 false 이다. 이럴때는 SpEL을 사용하지 않는다.

<http auto-config="true">

        <intercept-url pattern="..." access="ROLE_ANONYMOUS" />

  <intercept-url pattern="..." access="IS_AUTHENTICATED_ANONYMOUSLY" />

        <intercept-url pattern="..." access="ROLE_USER" />

        <intercept-url pattern="..." access="ROLE_ADMIN" />

 </http>

- use-expressions="true" 로 설정하면 SpEL을 사용해서 작성을 해야한다. 그렇지 않으면 에러가 발생한다.

<http auto-config="true" use-expressions="true">

<intercept-url pattern="..." access="permitAll" />

    <intercept-url pattern="..." access="hasRole('ROLE_ANONYMOUS')" />

        <intercept-url pattern="..." access="hasRole('ROLE_USER')" />

        <intercept-url pattern="..." access="hasRole('ROLE_ADMIN')" />

</http>

HTTP 기본인증이란 ? 

위와 같은 폼 기반 인증은 애플리케이션 사용자가 사람일때 이상적이지만 , 사용자가 다른 애플리케이션이라면 폼로그인을 사용하지 못할수도있다.

HTTP 기본인증은 HTTP 요청 시 사용자가 직접 어플리케이션에 대해 인증하는 방법이다. 웹 브라우저에서 HTTP 기본인증을 접하면 단순한 모달 대화상자로 사용자에게 입력을 요청한다.  이것은 실제로는 사용자명과 패스워드가 필요하다는 HTTP 401 응답이다. 이러한 HTTP 기본 인증은 REST 클라이언트가 사용하는 서비스의 인증 수단으로 적합하다. 

따라서 로그인으로  인증에 성공하면 인증정보가 클라이언트에 저장되어서 후속 요청시에 서버로 HTTP 프로토콜에 뭍어서 날라올거라는것을 알수가 있다. 그  사용자 정보(롤포함) +  요청URL 의 권한정보를 토대로 접근을 허용할지 안할지 결정할수있을것이라 생각된다.

http://iloveulhj.github.io/posts/http/http-basic-auth.html

package com.company.wmos.auth;

import java.util.Map;

import org.slf4j.Logger;

import org.slf4j.LoggerFactory;

import org.springframework.stereotype.Controller;

import org.springframework.ui.ModelMap;

import org.springframework.web.bind.annotation.RequestMapping;

import org.springframework.web.bind.annotation.RequestMethod;

import org.springframework.web.bind.annotation.RequestParam;

import org.springframework.web.servlet.ModelAndView;

@Controller

public class authController {

private static final Logger logger = LoggerFactory.getLogger(authController.class);

@RequestMapping(value = "/login", method = RequestMethod.GET)

public ModelAndView login(

@RequestParam(value = "error", required = false) String error,

@RequestParam(value = "logout", required = false) String logout) {

ModelAndView model = new ModelAndView();

if (error != null) {

model.addObject("error", "Invalid username and password!");

}

if (logout != null) {

model.addObject("msg", "You've been logged out successfully.");

}

model.setViewName("login");

return model;

}

}

package com.company.wmos.auth;

import java.util.ArrayList;

import java.util.Collection;

import java.util.List;

import org.springframework.beans.factory.annotation.Autowired;

import org.springframework.security.core.authority.SimpleGrantedAuthority;

import org.springframework.security.core.userdetails.User;

import org.springframework.security.core.userdetails.UserDetails;

import org.springframework.security.core.userdetails.UserDetailsService;

import org.springframework.security.core.userdetails.UsernameNotFoundException;

import com.company.wmos.model.UserVO;

import com.company.wmos.service.UserService;

public class MemberService implements UserDetailsService{

@Autowired UserService        userService;

@Override

public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {

     UserVO userVO = userService.getUsersByID(username);

if (userVO == null) {

        throw new UsernameNotFoundException("No user found with username" +                                                                                         userVO.getName());

}  

Collection<SimpleGrantedAuthority> roles = new ArrayList<SimpleGrantedAuthority>();

     roles.add(new SimpleGrantedAuthority("ROLE_USER"));

    UserDetails user = new User(username, userVO.getPassword(), roles);

           return user;

}

}

번역할것