상태 관리

개요

DSL에서 인증 방식 뒤에 .session() 또는 .oauth2()를 호출하여 상태를 구성합니다. AbstractFlowRegistrar.StateSetter는 가장 최근에 추가된 플로우에 상태를 적용합니다.

registry
    .form(f -> f.loginPage("/login"))
    .session(Customizer.withDefaults())      // form -> Session

    .rest(r -> r.loginProcessingUrl("/api/auth"))
    .oauth2(Customizer.withDefaults())        // rest -> OAuth2

    .mfa(m -> m.primaryAuthentication(...).passkey(...))
    .session(Customizer.withDefaults())        // mfa -> Session

    .build();

Session vs OAuth2 비교

Session 기반

.session(Customizer.withDefaults())로 구성합니다. 전통적인 웹 애플리케이션 및 서버 사이드 렌더링에 적합합니다.

자동 적용 항목

• sessionFixation().changeSessionId() -- 세션 고정 공격 보호
• 로그아웃 시 세션 무효화 + 쿠키 삭제
• CompositeLogoutHandler 통합 (Strategy 패턴)

rawHttp를 통한 추가 구성

.form(f -> f
    .rawHttp(http -> http.sessionManagement(s -> s
        .maximumSessions(1)
        .maxSessionsPreventsLogin(true)))
)
.session(Customizer.withDefaults())

OAuth2 기반

.oauth2(Customizer.withDefaults())로 구성합니다. SPA, 마이크로서비스, API 서버에 적합합니다.

자동 적용 항목

• Resource Server: JWT 인증 컨버터, 인증 실패/접근 거부 핸들러, SessionCreationPolicy.STATELESS
• Authorization Server: AuthorizationService, ClientRepository, 토큰 엔드포인트, authenticated_user grant type, OIDC 지원
• OAuth2 CSRF: spring.auth.oauth2-csrf 설정으로 제어

authenticated_user Grant Type

Identity 인증(Form, REST, MFA)을 완료한 사용자에게 OAuth2 토큰을 발급하는 커스텀 grant type입니다. 전통적인 인증과 OAuth2 토큰 발급을 연결하는 브릿지 역할을 합니다.

  authenticated_user Grant Flow
  ===============================

  [Form/REST/MFA Authentication Complete]
           |
           v
  [AuthenticatedUserGrantAuthenticationProvider]
           |
           +-- Client Verification
           +-- User Lookup (UserRepository)
           +-- Scope Resolution
           +-- Access Token Generation (JWT)
           +-- Refresh Token Generation (optional)
           +-- Authorization Persistence (transactional)
           |
           v
  [JWT Token Issuance Complete]

설정 속성

AuthContextProperties (spring.auth.*)의 핵심 설정입니다.

핵심 설정 (spring.auth.*)

TokenTransportType 상세

OAuth2 설정 (spring.auth.oauth2.*)

MFA 설정 (spring.auth.mfa.*)

MFA 하위 설정 그룹

application.yml 예제

spring:
  auth:
    state-type: OAUTH2
    token-transport-type: header_cookie
    access-token-validity: 3600000
    enable-refresh-token: true
    oauth2:
      client-id: my-client
      issuer-uri: https://auth.example.com
      jwk-key-store-path: classpath:keystore.jks
    mfa:
      session-timeout-ms: 600000
      otp-token-validity-seconds: 300
      session-storage-type: redis
      redis:
        key-prefix: mfa:session:
        cookie-name: MFA_SID