기존 Spring Boot 애플리케이션에 Contexa 통합하기

내부에서 일어나는 일

@EnableAISecurity를 추가하면 선택한 모드가 먼저 소유권 경계를 결정합니다. 아래 인증 DSL과 필터 체인 생성 과정은 FULL / CONTEXA_OWNED 구성에 해당합니다.

FULL 모드의 기본 PlatformConfig는 Form Login, OTT MFA, 세션 관리와 AISessionSecurityContextRepository를 구성합니다. SANDBOX에서는 이 구성을 호스트 인증 소유권을 넘기는 근거로 사용하면 안 됩니다.

SANDBOX에서는 호스트 보안 소유권을 유지합니다

SANDBOX의 기준은 단순한 빈 공존이 아니라 HOST_OWNED 경계입니다. 호스트가 로그인, 세션, 인증 Provider와 SecurityContext를 계속 소유합니다.

깨지지 않는 이유

Shadow Mode로 안전하게 시작

Shadow Mode는 전체 Zero Trust 파이프라인 — 행동 분석, 위험도 산출, AI 결정 — 을 실행하지만 결정을 절대 강제하지 않습니다.

contexa:
  security:
    zerotrust:
      mode: SHADOW   # 선택된 리소스를 분석하되, 결정을 강제하지 않음

contexa.security.zerotrust.mode 속성은 SecurityZeroTrustProperties에 바인딩됩니다(값: SHADOW, ENFORCE; 기본값 ENFORCE). SecurityZeroTrustProperties.isEnforcementEnabled()는 mode == ENFORCE일 때만 true를 반환합니다. SHADOW 모드에서는 SecurityDecisionEnforcementHandler가 결정 영속화와 차단 부수 효과를 건너뛰고, AuthorizationManagerMethodInterceptor는 @Protectable(sync = true)의 BLOCK/CHALLENGE/ESCALATE 결정을 관찰 전용으로 처리합니다(ZeroTrustAccessDeniedException을 던지지 않고 메서드가 정상 진행). 이 속성은 @ConfigurationProperties로 바인딩되므로 YAML 값 변경 후에는 애플리케이션 재시작이 필요합니다.

실전 적용 — Shadow에서 Enforce로

행동 기준선이 확립되면, 속성 하나를 변경하여 Enforce 모드로 전환합니다:

contexa:
  security:
    zerotrust:
      mode: ENFORCE   # AI 결정이 실제로 강제됨

Enforce 모드에서 AI의 결정이 실제로 적용됩니다:

롤백하려면 ENFORCE를 SHADOW로 변경하세요. 해당 속성은 @ConfigurationProperties로 바인딩되므로 변경 사항이 적용되려면 애플리케이션 재시작이 필요합니다.

AI가 결정을 내리는 방식 →  |  마이그레이션 전략 →

FULL 모드에서 커스텀 인증 구성이 필요할 때

다음 인증 DSL 예제는 FULL / CONTEXA_OWNED 전용입니다. 레거시 호스트의 SANDBOX 통합에 복사하지 마세요. FULL에서 다른 인증 구성이 필요할 때만 PlatformConfig 빈을 정의합니다.

시나리오 A: REST API 전용

애플리케이션이 REST API만 제공하고 Form Login이 필요 없는 경우.

@Bean
public PlatformConfig platformConfig(IdentityDslRegistry<HttpSecurity> registry) throws Exception {
    return registry
        .global(globalHttpCustomizer)
        .rest(rest -> rest.order(10))
        .session(Customizer.withDefaults())
        .build();
}

시나리오 B: FULL 모드의 Form Login + Zero Trust

Contexa가 인증을 소유하는 FULL 모드에서 Form Login과 AI 기반 보안을 함께 구성하는 경우입니다. AISessionSecurityContextRepository도 FULL 소유권 안에서 등록합니다.

@Bean
public PlatformConfig platformConfig(IdentityDslRegistry<HttpSecurity> registry) throws Exception {
    return registry
        .global(http -> http
            .authorizeHttpRequests(authReq -> authReq
                .requestMatchers("/css/**", "/js/**", "/images/**").permitAll()
                .anyRequest().access(customDynamicAuthorizationManager))
            .securityContext(sc -> sc
                .securityContextRepository(aiSessionSecurityContextRepository)))
        .form(form -> form.defaultSuccessUrl("/dashboard"))
        .session(Customizer.withDefaults())
        .build();
}

시나리오 C: 복잡한 기존 설정 — rawHttp() 탈출구

DSL이 충분하지 않을 때 — 커스텀 필터, 커스텀 AuthenticationEntryPoint, 고급 설정 — Spring Security의 HttpSecurity에 직접 접근합니다:

.form(form -> form
    .rawFormLogin(formLogin -> formLogin
        .authenticationDetailsSource(customDetailsSource)
        .successHandler(customSuccessHandler))
)

Spring Security의 FormLoginConfigurer에 완전히 접근하면서도 Contexa의 Zero Trust 파이프라인은 그대로 유지됩니다.

Identity DSL 레퍼런스 →  |  인증 흐름 →  |  적응형 MFA →