기존 Spring Boot 애플리케이션에 Contexa 통합하기

내부에서 일어나는 일

Contexa가 인증을 소유하는 CONTEXA_OWNED(@EnableAISecurity(mode = SecurityMode.FULL)의 기본값)에서는, 4계층 파이프라인이 선언적 설정을 Spring Security 필터 체인으로 변환합니다.

기본 PlatformConfig는 Form Login + OTT MFA 흐름, 세션 관리, 그리고 AI 신뢰 점수를 위한 AISessionSecurityContextRepository를 제공합니다 — 설정 클래스를 하나도 작성하지 않아도 됩니다.

기존 보안 설정은 그대로 유지됩니다

새로운 보안 프레임워크를 도입할 때 가장 흔한 우려: "기존 설정이 깨지지 않을까?"

오른쪽의 "별도 추가" 항목은 CONTEXA_OWNED 기준입니다. 기본 SANDBOX 모드(HOST_OWNED)에서는 Contexa가 SecurityFilterChain을 추가하지 않으므로, Contexa 체인에 붙는 Zero Trust 필터와 AI 세션 컨텍스트도 호스트 요청 경로에 추가되지 않습니다.

깨지지 않는 이유

Shadow Mode로 안전하게 시작

Shadow Mode는 전체 Zero Trust 파이프라인 — 행동 분석, 위험도 산출, AI 결정 — 을 실행하지만 결정을 절대 강제하지 않습니다.

contexa:
  security:
    zerotrust:
      mode: SHADOW   # AI가 모든 요청을 분석하되, 강제하지 않음

contexa.security.zerotrust.mode 속성은 SecurityZeroTrustProperties에 바인딩됩니다(값: SHADOW, ENFORCE; 기본값 ENFORCE). SecurityZeroTrustProperties.isEnforcementEnabled()는 mode == ENFORCE일 때만 true를 반환합니다. SHADOW 모드에서는 SecurityDecisionEnforcementHandler가 결정 영속화와 차단 부수 효과를 건너뛰고, AuthorizationManagerMethodInterceptor는 @Protectable(sync = true)의 BLOCK/CHALLENGE/ESCALATE 결정을 관찰 전용으로 처리합니다(ZeroTrustAccessDeniedException을 던지지 않고 메서드가 정상 진행). 이 속성은 @ConfigurationProperties로 바인딩되므로 YAML 값 변경 후에는 애플리케이션 재시작이 필요합니다.

실전 적용 — Shadow에서 Enforce로

행동 기준선이 확립되면, 속성 하나를 변경하여 Enforce 모드로 전환합니다:

contexa:
  security:
    zerotrust:
      mode: ENFORCE   # AI 결정이 실제로 강제됨

Enforce 모드에서 AI의 결정이 실제로 적용됩니다:

롤백하려면 ENFORCE를 SHADOW로 변경하세요. 해당 속성은 @ConfigurationProperties로 바인딩되므로 변경 사항이 적용되려면 애플리케이션 재시작이 필요합니다.

AI가 결정을 내리는 방식 →  |  마이그레이션 전략 →

커스텀 설정이 필요할 때

기본 PlatformConfig는 Form Login + OTT MFA + 세션 관리를 포함합니다. 다른 구성이 필요하면 직접 PlatformConfig 빈을 정의하세요(PlatformConfig는 CONTEXA_OWNED에서만 SecurityFilterChain으로 구성되며, HOST_OWNED에서는 여러분의 Spring Security 설정이 그대로 사용됩니다):

시나리오 A: REST API 전용

애플리케이션이 REST API만 제공하고 Form Login이 필요 없는 경우.

@Bean
public PlatformConfig platformConfig(IdentityDslRegistry<HttpSecurity> registry) throws Exception {
    return registry
        .global(globalHttpCustomizer)
        .rest(rest -> rest.order(10))
        .session(Customizer.withDefaults())
        .build();
}

시나리오 B: 기존 Form Login + Zero Trust

기존 인증 흐름을 유지하면서 AI 기반 보안만 추가하는 경우. 핵심: AISessionSecurityContextRepository 등록 필수.

@Bean
public PlatformConfig platformConfig(IdentityDslRegistry<HttpSecurity> registry) throws Exception {
    return registry
        .global(http -> http
            .authorizeHttpRequests(authReq -> authReq
                .requestMatchers("/css/**", "/js/**", "/images/**").permitAll()
                .anyRequest().access(customDynamicAuthorizationManager))
            .securityContext(sc -> sc
                .securityContextRepository(aiSessionSecurityContextRepository)))
        .form(form -> form.defaultSuccessUrl("/dashboard"))
        .session(Customizer.withDefaults())
        .build();
}

시나리오 C: 복잡한 기존 설정 — rawHttp() 탈출구

DSL이 충분하지 않을 때 — 커스텀 필터, 커스텀 AuthenticationEntryPoint, 고급 설정 — Spring Security의 HttpSecurity에 직접 접근합니다:

.form(form -> form
    .rawFormLogin(formLogin -> formLogin
        .authenticationDetailsSource(customDetailsSource)
        .successHandler(customSuccessHandler))
)

Spring Security의 FormLoginConfigurer에 완전히 접근하면서도 Contexa의 Zero Trust 파이프라인은 그대로 유지됩니다.

Identity DSL 레퍼런스 →  |  인증 흐름 →  |  적응형 MFA →