[java] Apache Shiro와 SOAP 웹 서비스 보안

15 Nov 2023

java

SOAP(Simple Object Access Protocol)은 웹 서비스 통신에 사용되는 프로토콜입니다. SOAP 웹 서비스를 개발할 때 보안은 매우 중요한 요소입니다. 이를 위해 Apache Shiro는 강력한 보안 기능을 제공합니다. 이 글에서는 Apache Shiro를 활용하여 SOAP 웹 서비스를 보호하는 방법에 대해 알아보겠습니다.

Apache Shiro란?

Apache Shiro는 Apache Software Foundation에서 개발한 오픈 소스 보안 프레임워크입니다. Shiro는 인증, 권한 부여, 세션 관리 및 암호화와 같은 보안 기능을 제공하여 애플리케이션의 보안 요구 사항을 처리할 수 있습니다.

Apache Shiro를 이용한 SOAP 웹 서비스 보안 구현 과정

Shiro의 의존성 추가

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-all</artifactId>
    <version>1.7.1</version>
</dependency>

Shiro의 보안 관련 설정

Shiro를 사용하기 위해 shiro.ini 파일을 작성하고 웹 서비스에 필요한 보안 구성을 추가합니다. 예를 들어, 인증에 사용될 사용자 정보, 권한 부여 정책, 세션 관리 방법 등을 설정할 수 있습니다.
```
[main]
# 사용자 정보 설정
shiroUserRealm = com.example.MyRealm
securityManager.realms = $shiroUserRealm
   
[users]
# 사용자 인증 정보
admin = admin123, admin
user = user123, user
   
[roles]
# 사용자 권한 부여
admin = *
user = read
   
[url]
# URL에 대한 접근 권한 설정
/ws/** = authcBasic
```
위의 예시에서는 사용자 정보를 shiroUserRealm에 저장하고, admin과 user라는 두 개의 사용자를 정의하였습니다. admin 사용자는 모든 권한을 가지고 있으며, user 사용자는 read 권한을 가지고 있습니다. 또한, /ws/** 경로에 대한 접근은 authcBasic 방식으로 인증을 요구합니다.

SOAP 웹 서비스에 Shiro 적용

이제 웹 서비스 코드에 Shiro를 적용하여 보안을 구현할 수 있습니다. Shiro는 웹 서비스에 filter를 추가하여 인증 및 권한 검사를 처리합니다.

import org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter;
   
public class MyWebServiceFilter extends BasicHttpAuthenticationFilter {
   
    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {
        // 인증 및 권한 검사 로직 구현
    }
   
    @Override
    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
        // 인증 실패 시 처리 로직 구현
    }
}

위의 예시에서는 BasicHttpAuthenticationFilter를 상속한 MyWebServiceFilter를 구현하고, isAccessAllowed 메서드와 onAccessDenied 메서드를 오버라이딩하여 인증 및 권한 검사 로직을 구현합니다.

웹 서비스에 Shiro 필터 추가

웹 서비스의 web.xml 파일을 열어 Shiro 필터를 추가합니다.

<filter>
    <filter-name>shiroFilter</filter-name>
    <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
</filter>
   
<filter-mapping>
    <filter-name>shiroFilter</filter-name>
    <url-pattern>/ws/*</url-pattern>
</filter-mapping>

위의 예시에서는 /ws/* 경로에 대해 Shiro 필터를 적용하도록 설정하였습니다.

결론

Apache Shiro를 사용하여 SOAP 웹 서비스를 보호하는 방법에 대해 알아보았습니다. Shiro를 활용하면 웹 서비스에 보안 기능을 추가할 수 있으며, 인증, 권한 부여, 세션 관리 등을 효과적으로 처리할 수 있습니다. Shiro를 사용하여 웹 서비스의 보안을 강화해 보세요.

참고 문서: Apache Shiro 공식 문서