[SpringBoot] Spring Security 사용 시 deprecated

📌환경

IntelliJ Ultimate

Java 17

 

Spring boot 3.2.3

Gradle - Groovy

Dependencies: 

Spring Web

Thymeleaf

Spring Data JPA

lombok

MariaDB 10.11

Spring Dev tool

 

📌문제

2024년 3월 16일 기준 스프링 부트 3.2.3버전 프로젝트에서 스프링 시큐리티의 적용 과정 도중 책과 구글링을 통해 참고한 코드가 deprecated 되었다는 오류와 함께 작성되지 않는 불편을 겪어 해당 글을 작성한다.

 

6.1부터 deprecated

 

 

📌해결

Spring Security 5.2 이후로 `Configuration` 작성 시 메서드 체이닝 대신 람다식을 허용하고 있다.

Spring Security 6.0 버전 이후로는 기존의 `WebSecurityConfigurerAdapter`를 상속하는 방법 대신 개발자가 직접 `@Bean`을 등록하여 사용하도록 변경되었다. 

 

spring docs에서는 다음과 같이 설명하고 있다.

 

• 이전 방식에서는 반환 유형이 무엇인지 알지 못한 채 어떤 객체가 구성되고 있는지 명확하지 않았습니다. 중첩이 깊어질수록 혼란스러워졌습니다. 숙련된 사용자라도 자신의 구성이 실제로는 다른 작업을 수행하고 있으면서도 하나의 작업을 수행하고 있다고 오해할 수 있습니다.
• 많은 코드 베이스가 두 스타일 사이에서 전환되어 구성을 이해하기 어렵게 만들고 종종 잘못된 구성으로 이어졌습니다.

메서드 체이닝 대신 람다식을 활용하면 괄호 내에 해당 설정을 작성함으로써 어떤 설정을 구성하고 있는지 명확하게 파악할 수 있다.

 

 

// before

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests()
                .requestMatchers("/blog/**").permitAll()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .rememberMe();

        return http.build();
    }
}

 

 

기존의 메서드 체이닝 방식

 

 

//	after

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                .requestMatchers("/blog/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(formLogin -> formLogin
                .loginPage("/login")
                .permitAll()
            )
            .rememberMe(Customizer.withDefaults());

        return http.build();
    }
}

 

 

변경 후 람다식을 이용한 방식

 

 

 

 

아래는 기존 메서드 체이닝을 람다식으로 변경하여 작성한 예시다.

(참고: 자바 웹 개발 워크북 p.719)

 

 @Bean
    public SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
        log.info("-----------security configure------------");
//
//          Deprecated
//        httpSecurity.formLogin().loginPage("/member/login");     
//        httpSecurity.csrf().disable();                           
//        httpSecurity.rememberMe()
//                .tokenRepository(persistentTokenRepository())
//                .userDetailsService(userDetailService)
//                .tokenValiditySeconds(60 * 60 * 24 * 30))//  쿠키 유효 시간 30일                               
//        httpSecurity.oauth2Login().loginPage("/member/login").successHandler(authenticationSuccessHandler()));


        httpSecurity
                .formLogin(formLogin -> formLogin
                        .loginPage("/member/login"))   //  커스텀 로그인 페이지
                .csrf(AbstractHttpConfigurer::disable)
                .rememberMe(rememberMe -> rememberMe    //  자동 로그인 처리
                        .key("12345678")
                        .tokenRepository(persistentTokenRepository())
                        .userDetailsService(userDetailService)
                        .tokenValiditySeconds(60 * 60 * 24 * 30))//  쿠키 유효 시간 30일
                .oauth2Login(oauth2Login -> oauth2Login.loginPage("/member/login").successHandler(authenticationSuccessHandler()));

        return httpSecurity.build();
    }

 

 

 

 

 

📌참고

 

자바 웹 개발 워크북 - 구멍가게 코딩단

 

Configuration Migrations :: Spring Security

[시행착오] 헉! SpringSecurity deprecated 된 것들이 왤케 많아?

최신 Spring Security 사용법 - SecurityFilterChain