(구버전) 스프링 게시판 만들기 #17. 패스워드 암호화 구현

'(구버전) 스프링 게시판 만들기'는 내용이 부족하다고 판단하여
스프링 게시판 만들기를 새로 작성하였습니다.

링크 및 참조용으로 현재 게시물은 남겨두겠지만,
가급적이면 새로운 스프링 게시판 만들기를 참조해주시기 바랍니다.

지금까지 회원정보(아이디, 패스워드. 닉네임)은 입력한 텍스트 그대로 저장이 되었었습니다. 아무런 일이 안생기면 별문제 없겠지만, 만약이라도 데이터 베이스가 저장된게 노출된다면 큰 문제입니다.

회원정보가 노출되면, 다른 사이트에 같은 정보가 가입한 경우도 있을 수 있으므로 큰 문제가 발생됩니다.

신비로운 기술(?)을 사용하여 절대 노출되지 않는 완벽한 보안 기술이 생긴다면 좋겠지만, 그러기엔 매우 힘드니, 관리자는 최대한 보안에 힘써야하며, 그 방법중 하나가 암호화입니다.

입력한 문자를 특정 공식에 의해 완전히 다른 문자로 바꿔서, 만약이라도 정보가 노출될 경우 확인하기 어렵게 할 수 있습니다. 암호화를 한번만 하는게 아니라, 여러번하게되면 더욱 확인하기 어려워집니다.

먼저 pom.xml에 암호화 관련 라이브러리를 추가합니다.

메이븐 리포지터리에서 스프링 세큐리티를 검색하면 나오는 결과의 core, web, config를 같은 버전으로 추가합니다.

<!-- https://mvnrepository.com/artifact/org.springframework.security/spring-security-core -->
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-core</artifactId>
    <version>5.0.8.RELEASE</version>
</dependency>

<!-- https://mvnrepository.com/artifact/org.springframework.security/spring-security-web -->
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>5.0.8.RELEASE</version>
</dependency>

<!-- https://mvnrepository.com/artifact/org.springframework.security/spring-security-config -->
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-config</artifactId>
    <version>5.0.8.RELEASE</version>
</dependency>

web.xml의 contextConfigLocation에 스프링 세큐리티(spring security)를 설정해주는 xml파일의 경로를 추가합니다.

/WEB-INF/spring/spring-security.xml

이제 web.xml에 적었던 경로(/WEB-INF/spring/)에 spring-security.xml 파일을 생성하고 내부에 코드를 추가합니다.

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
    xmlns:beans="http://www.springframework.org/schema/beans"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.springframework.org/schema/beans
    http://www.springframework.org/schema/beans/spring-beans.xsd
    http://www.springframework.org/schema/security
    http://www.springframework.org/schema/security/spring-security.xsd">
      
    <beans:bean id="bcryptPasswordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder" /> 
</beans:beans>

이제 맴버 컨트롤러(MemberController)에서 의존성 주입하여, 암호화를 사용할 수 있습니다.

@Autowired
BCryptPasswordEncoder passEncoder;

회원 가입 메서드에서 암호화를 합니다.

회원 가입시 입력하는 MemberVO에서, 패스워드(getUserPass)만 받아와서 encode로 암호화한뒤, 다시 패스워드(setUserPass)에 넣어줍니다.

@Autowired
BCryptPasswordEncoder passEncoder;

이제 회원가입을 합니다. 비밀번호는 1111로 했습니다.

패스워드 부분이 입력한 1111이 그대로 저장되지 않고 암호화되어 저장되었습니다.

암호화되면 문자열의 길이가 상당히 길어지므로, 테이블의 해당 컬럼의 크기가 작다면 변경할 필요가 있습니다.

이제 로그인하려고하면, 로그인에 실패합니다.

왜냐하면 입력한 비밀번호는 1111인데, 데이터 베이스에 저장된 비밀번호는 1111이 아닌 암호화된 1111이니까요. 그러므로 암호화된 1111을 해독하여 원래의 1111로 되돌려야합니다. 그런데 이번에 사용한 BCrypt 암호화 방식은 같은 텍스트를 입력하더라도 시간에 따라서 다른 결과를 출력합니다.

matches 메서드를 사용하면 사용자가 로그인하기 위해 입력한 값과 데이터 베이스에 저장된 값을 비교할 수 있습니다.

로그인하고난 뒤 정보를 가져올 쿼리를 작성합니다.

이전에 사용했던 쿼리는 사용자가 입력한 아이디와 패스워드 두가지가 모두 맞아야 값을 가져올 수 있었는데, 이번엔 아이디만으로 값을 가져옵니다.

쿼리가 정상적으로 작동한다면 매퍼에 추가합니다.

<!-- 로그인 - 암호화 적용 -->
<select id="loginBcrypt" resultType="com.kuzuro.domain.MemberVO">
 select
  userId, userName, userPass
 from
  myMember
 where userId = #{userId}
</select>

기존에 있던 로그인 DAO에서 매퍼 아이디 부분만 수정합니다.

맴버 컨트롤러(MemberController)의 로그인 메서드를 수정합니다.

// 로그인
@RequestMapping(value = "/login", method = RequestMethod.POST)
public String login(MemberVO vo, HttpServletRequest req, RedirectAttributes rttr) throws Exception {
 logger.info("post login");
 
 HttpSession session = req.getSession();
 MemberVO login = service.login(vo);
 
 boolean passMatch = passEncoder.matches(vo.getUserPass(), login.getUserPass());
 
 if(login != null && passMatch) {
 
  session.setAttribute("member", login);
  
 } else {
  session.setAttribute("member", null);
  rttr.addFlashAttribute("msg", false);
 }  
 
 /* if(login == null) {
  session.setAttribute("member", null);
  rttr.addFlashAttribute("msg", false);
 } else {
  session.setAttribute("member", login);
 } */
   
 return "redirect:/";
}

service.login(vo) 로 인해 입력한 아이디와 매칭되는 값을 데이터에서 찾아 리턴합니다. 그리고 passEncoder.matches() 메서드는 입력한 패스워드와 저장된 패스워드를 비교하고, 같다면 true 틀리면 false를 리턴합니다.

아이디와 매칭되는 데이터가 있으며, 입력한 패스워드가 저장된 패스워드와 일치 될 경우 if문 내부가 실행됩니다. 아이디가 매칭되지 않거나, 입력한 패스워드가 저장된 패스워드가 일치하지 않으면 else문 내부가 실행됩니다.

이제 프로젝트를 다시 실행하고 로그인을 시도합니다.

이제 로그인이 정상적으로 이루어집니다.

회원가입할 때 패스워드가 암호화가 되었으므로, 회원 정보 수정이나 회원 탈퇴에서도 matches 메서드를 사용해서 비교하도록 해야합니다.