[java] Apache Shiro와 인증 서버 연동

15 Nov 2023

java

이번 포스트에서는 Apache Shiro를 사용하여 애플리케이션과 인증 서버를 연동하는 방법에 대해 알아보겠습니다. Apache Shiro는 자바 기반의 보안 프레임워크로서, 사용자 인증, 권한 관리 등 다양한 보안 기능을 제공합니다.

1. Apache Shiro 설정하기

먼저, Apache Shiro를 애플리케이션에 추가해야 합니다. Maven을 이용한다면, pom.xml 파일에 다음 종속성을 추가할 수 있습니다:

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-core</artifactId>
    <version>1.7.1</version>
</dependency>

이제 Apache Shiro를 설정해보겠습니다. shiro.ini 파일을 생성하고 다음과 같이 설정합니다:

[main]
# 실제 인증 서버의 URL을 입력하세요.
casServerUrlPrefix = https://your.auth.server.com/cas

# 로그인 URL
casLoginUrl = ${casServerUrlPrefix}/login

# 로그아웃 URL
casLogoutUrl = ${casServerUrlPrefix}/logout

# 티켓 검증 URL
casServiceValidateUrl = ${casServerUrlPrefix}/p3/serviceValidate

# 자신의 애플리케이션 URL
serviceUrl = https://your.application.com

# 로그인 성공 후 이동할 페이지 URL
successUrl = /home

# Apache Shiro의 인증 및 권한 설정
casFilter = org.apache.shiro.cas.CasFilter
casRealm = org.apache.shiro.cas.CasRealm

[urls]
# 로그인 URL
/cas/login = authc

# 로그아웃 URL
/cas/logout = anon

# 기타 URL
/** = casFilter

위의 설정에서 casServerUrlPrefix는 실제 인증 서버의 URL로 바꿔야 합니다. 또한, serviceUrl은 자신의 애플리케이션의 URL로 변경해야 합니다.

2. CasRealm 구현하기

Apache Shiro는 CasRealm과 CasFilter를 사용하여 실제 인증 서버와 통신합니다. 따라서, 우리는 사용자 정보를 가져오기 위한 CasRealm을 구현해야 합니다.

public class MyCasRealm extends CasRealm {

    // 사용자 정보를 가져오는 메소드
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 인증 서버로부터 받은 사용자 정보를 가지고 온다
        // 사용자 정보를 토대로 로그인 처리를 한다
        // ...
    }

    // 사용자의 권한 정보를 가져오는 메소드
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 사용자의 권한 정보를 인증 서버로부터 가져온다
        // 권한 정보를 Shiro에 제공하여 권한 검사를 한다
        // ...
    }

}

위의 MyCasRealm 클래스는 CasRealm 클래스를 상속하고 doGetAuthenticationInfo 및 doGetAuthorizationInfo 메소드를 오버라이드하여 실제 인증 서버와 통신하고 사용자 정보를 가져오게 됩니다.

3. ShiroFilter 설정하기

마지막으로, ShiroFilter를 설정하여 Apache Shiro가 서버 요청을 필터링하고 인증 및 권한 검사를 수행할 수 있도록 해야 합니다.

public class ShiroFilterConfig extends AbstractShiroFilterInitializer {

    @Override
    protected void configureShiroFilter(FilterChainDefinitionMapBuilder builder) {
        // 필터 체인 설정
        builder
            .addChain("/cas/login", "casFilter")
            .addChain("/cas/logout", "casFilter")
            .addChain("/**", "casFilter");

        // CasRealm 등록
        builder.getFilterChainDefinitionMap().put("casFilter", "casFilter");

        // 자신의 CasRealm 등록
        setRealms(builder, new MyCasRealm());

        // 필터 설정
        setFilters(builder);
    }

}

위의 ShiroFilterConfig 클래스는 AbstractShiroFilterInitializer 클래스를 상속하고 configureShiroFilter 메소드를 오버라이드하여 필터 체인을 설정하고 CasRealm을 등록하는 작업을 수행합니다.

이제 Apache Shiro의 설정이 완료되었습니다. 애플리케이션을 실행하고 실제 인증 서버와 통신하여 인증 및 권한 관리를 수행할 수 있습니다.

결론

이번 포스트에서는 Apache Shiro를 사용하여 인증 서버와의 연동 방법을 알아보았습니다. Apache Shiro는 강력한 보안 기능을 제공하며, 다양한 인증 서버와의 연동도 가능합니다. 애플리케이션의 보안을 강화하고자 한다면 Apache Shiro를 고려해보세요.

더 자세한 내용은 Apache Shiro 공식 문서를 참조하세요.