Fullstack-Study-241204-250625

커리큘럼(12-30/변경)

01. Java
02. git
03. Database 
04. Jsp [Server]

05. HTML,CSS 
07. JS
06. 미니프로젝트-2W

08. SpringFramework , SrpingBoot 
19. 중간프로젝트 (1M)
10. Linux 명령어
11. AWS
12. Docker
13. Kubernetes
14. React JS
15. JWT (v)
16. App - Android
17. 최종프로젝트 (1M) (v)

---

스프링 시큐리티 JWT

JWT(JSON Web Token)

• 인증과 권한 부여에 자주 사용되는 토큰 기반 인증방식
• 주로 웹 애프리케이션에서 로그인 상태를 유지하거나 사용자 정보를 안전하게 전달할 때 사용

세션방식

1. 로그인 요청

• 클라이언트가 아이디/비밀번호를 서버로 전송

2. 서버에서 로그인 정보 확인 후 세션 생성

• 로그인에 성공하면, 서버는 세션 저장소에 사용자 정보 저장
• 고유한 sessionId를 생성하고 사용자 정보와 함께 매핑

3. 서버에서 클라이언트로 sessionId 전송

4. 클라이언트는 브라우저의 쿠키 저장소에 sessionId 저장

5. 클라이언트의 이후 요청에 sessionId 자동 포함

• 브라우저는 같은 도메인으로 요청시 쿠키에 포함된 sessionID 자동 저송

6. 웹서버는 sessionid를 확인

• 세션 저장소에서 sessionId에 해당하는 사용자 정보 확인

7. 일치하면 인증 성공 -> 요청처리

JWT방식

1. 로그인요청

2. DB에서 로그인 정보 확인 후 JWT발급

3. 서버에서 클라이언트로 JWT 전송

4. 클라이언트는 JWT 저장

• sessionStorage는 브라우저 탭이 닫히면 사라짐
• localStorage는 브라우저를 꺼도 남아있음

5. 이후 서버 요청시 필요한데이터 + JWT로 요청

6. 서버는 JWT 검증

• 비밀키 또는 공개키로 유효성 확인
• 위조 여부, 만료 여부 체크

7. 검증 성공 시 결과데이터 반환

대칭키 암호화

• 하나의 비밀키로 데이터를 암호화,복호화
• 종류 : AES, DES

비대칭키 암호화

• 공개키를 이용해 암호화 하고 개인키를 이용해 복호화
• 종류 : RSA, ECC

전자서명(공인 인증)

• RS256

• RSA + SHA256 (JWT에서 사용)
• 비대칭키 방식
• A는 자신의 개인키로 서명, B는 A의 공개키로 서명 검증
• 공개키로 검증이 가능하므로, 보낸 사람의 신원 확인 및 위조 방지가 가능

• HS256

• HMAC + SHA256 (JWT에서 사용)
• 대칭키 방식
• A와 B가 같은 비밀키를 공유
• A는 비밀키로 JWT에 서명하고, B는 같은 키로 검증
• 서명이 같으면 위조되지 않았음을 확인 가능

JWT 토큰 모형

• 완성된 토큰모형

Base64Url(header ).
Base64Url( payload ).
Base64Url( HMACSHA256(header + "." + payload, secret) )

1. 헤더(문서의 정보)

• 토큰 정보와 서명 알고리즘 명시

{
  "alg": "HS256",  // 서명알고리즘
  "typ": "JWT" // 토큰 타입입
}

2. 정보(Payload)

• 토큰에담을 실제 정보(Claim)가 들어감

• Base64로 인코딩되며, 암호화되어 있지는 않기 때문에 민감한 정보는 넣지 않음

• 등록된 클레임

• Iss : 토큰 발급자 (issuer)
• Sub: 토큰 제목 (subject)
• Aud: 토큰 대상자 (audience)
• Exp: 토큰 만료시간 (expiration) – 밀리초형식으로 만들어짐
• Iat : 토큰이 발급된 시간 (issueAt)

• 공개클레임

• 누구나 사용 가능하지만 충돌 방지를 위해 URI 네임스페이스 권장

• 비공개 클레임

• 발급자와 수신자 간의 약속된 데이터

{
  "sub": "user123", // 등록된 클레임
  "role": "admin", // 비공개 클레임
  "exp": 1717430400 // 등록된 클레임
}

3. 서명(Signature)

• 헤더와 페이로드를 Base64Url로 인코딩한 후, *비밀키**를 이용해 서명 생성
• 토큰의 위변조 검증

HMACSHA256(
  base64UrlEncode(header) + "." + base64UrlEncode(payload),
  서버가 발행한 비밀키
)

• HS256 => 하나의 비밀키로 서명 및 검증
• RS256 => 개인키로 서명, 공개키로 검증