GlueUserDetailsService

GlueUserDetailsService는 6개의 property를 갖으며, 생략시 default 값은 다음과 같다.

<authentication-manager alias="authenticationManager">
    <authentication-provider user-service-ref="glueUserService" >
        <password-encoder hash="sha">
            <salt-source user-property="username"/>
        </password-encoder>
    </authentication-provider>
</authentication-manager>
<beans:bean id="glueUserService" class="com.poscoict.glueframework.security.bean.GlueUserDetailsService">
    <beans:property name="serviceName" value="security-service"/>
    <beans:property name="viewAuthorityManagerId" value="viewAuthorityManager"/>
    <beans:property name="serviceAuthorityManagerId" value="serviceAuthorityManager"/>
    <beans:property name="crc" value="false"/>
    <beans:property name="userName" value="user_id"/>
    <beans:property name="crcName" value="crc_id"/>
</beans:bean>

GlueUserDetailsService는 org.springframework.security.core.userdetails.UserDetailsService를 상속받아 구현 되었으며 security-service가 기본으로 실행된다. 실행되는 Service 를 다른 서비스로 바꾸고 싶을 경우에는 property값으로 serviceName을 주면 된다.
Glue 서비스 실행 후 GlueContext로부터 ‘users’ 와 ‘roles’ 를 Key로 해당 객체를 가져오며 UserDetailsService의 구현 메서드인 loadUserByUsername에서는 GlueSecurityUserImpl 객체가 반환된다.
User 검색에서 User_ID를 사용하는데 User_ID는 varchar형의 컬럼이다. 일반적으로 varchar값 인덱스의 속도보다는 int값 인덱스와 속도가 훨씬 빠르다. User가 매우 많을 경우 Crc32로 암호화한 int값을 사용하여 검색하면 검색 속도를 빠르게 할 수 있다.
GlueUserDetailsService에서는 property로 crc를 true로 설정하면 User 검색에서 Crc_id를 사용한다.
GlueUserDetailsService가 정상적으로 실행되기 위해서는 Glue 서비스로 security-service와 쿼리 파일로 security-query.glue_sql이 해당 프로젝트에 존재해야 한다.
security-service라는 서비스 명은 property 값으로 변경 가능하며 security-query.glue_sql등록된 쿼리는 security-service 내용을 변경하여 수정 가능하다.
그리고 필수 항목은 아니지만 각 화면 구성요소의 권한을 User에 설정하여 관리하기 위해서는 ApplicationContext에 glueViewAuthorityManager가 등록되어있어야 한다.

<bean id="viewAuthorityManager" class="com.poscoict.glueframework.security.authority.GlueViewAuthorityDbManagerImpl">
    <property name="jdbcDao" ref="securityDao "/>
</bean>

security-service

GlueUserDetailsService가 정상적으로 실행되기 위해서는 Glue 서비스로 security-service와 쿼리 파일로 security-query.glue_sql이 해당 프로젝트에 존재해야 한다. security-service와 security-query.glue_sql는 sample로 제공되며 GlueUserDetailsService에서 실행되는 서비스를 security-service가 아닌 다른 서비스로 설정하고 싶을 경우에는 GlueUserDetailsService에서 property값으로 serviceName을 주면 된다.

<beans:bean id="glueUserService" class="com.poscoict.glueframework.security.bean.GlueUserDetailsService">
    <beans:property name="serviceName" value="security-service"/>
</beans:bean>

Sample 로 제공되는 security-service에서는 GlueJdbcSearch를 이용하여 User,Role 정보를 가져오도록 설정되어 있다.

프로젝트에 따라서 로그인 로직이 변경되어야 하는 경우 GlueJdbcSearch가 아닌 Custom Class로 설정할 수 있다. Custom Class를 작성하는 경우 GlueContex에 User정보와 Role 정보가 담겨야 한다. User정보는 ‘users’를 key로 하여 ListGlueUser 형태로 저장되어야 하며 Role 정보는 ‘roles’ 를 key로 하여 ListGlueRole 형태로 저장되어야 한다.

security-query.glue_sql

GlueUserDetailsService가 정상적으로 실행되기 위해서는 Glue 서비스로 security-service와 쿼리 파일로 security-query.glue_sql이 해당 프로젝트에 존재해야 한다. security-query.glue_sql는 sample로 제공 되는데 파일 명은 변경되어도 상관없다. security-service에 설정된 Query ID가 변경되는 경우에는 security-query.glue_sql에 정의된 Query ID도 변경되어야 한다.

<custom-filter>

Glue Security에서는 2가지 유형의 <custom-filter>를 사용할 수 있다.

<http auto-config="true">
    <custom-filter ref="filterInvocationInterceptor" after="FILTER_SECURITY_INTERCEPTOR" />
    <custom-filter ref="gluefilter" before="FILTER_SECURITY_INTERCEPTOR" />
    <form-login login-page="/login.jsp"/>
</http>

<custom-filter> 설정에서 [after="FILTER_SECURITY_INTERCEPTOR"] 인 경우에는 filterInvocationInterceptor가 FILTER_SECURITY_INTERCEPTOR 동작 이후에 작동하고 [before="FILTER_SECURITY_INTERCEPTOR"]인 경우에는 filterInvocationInterceptor가 FILTER_SECURITY_INTERCEPTOR 동작 이전에 작동한다.
Glue Security Manger의 Role 화면을 통해 리소스를 관리 하며, URL 리소스는 filterInvocationInterceptor 를 통해 SERVICE 리소스는 gluefilter 를 통해 처리한다. ( Role Page 참고)

<beans:bean id="filterInvocationInterceptor" class="org.springframework.security.web.access.intercept.FilterSecurityInterceptor">
    <beans:property name="observeOncePerRequest" value="false" />
    <beans:property name="securityMetadataSource" ref="glueInvocationDefinitionSource" />
    <beans:property name="authenticationManager" ref="authenticationManager" />
    <beans:property name="accessDecisionManager" ref="accessDecisionManager" />
</beans:bean>
<beans:bean id="glueInvocationDefinitionSource" class="com.poscoict.glueframework.security.bean.GlueInvocationDefinitionSource"/>
<beans:bean id="gluefilter" class="com.poscoict.glueframework.security.filter.GlueServiceFilter"/>

URL type에 대한 Resource 권한 정보를 DB에서 가져오기 위해서는 <custom-filter>로 org.springframework.security.web.access.intercept.FilterSecurityInterceptor 이 사용된다. FilterSecurityInterceptor 는 observeOncePerRequest 속성, securityMetadataSource속성, authenticationManager 속성, accessDecisionManager 속성을 갖는다. ROLE_ID는 기본적으로 “ROLE_”라는 prefix 가 사용된다. Role prefix를 변경하고자 한다면 아래와 같이 accessDecisionManager 의 RoleVoter를 수정하면 된다.

<beans:bean id="accessDecisionManager" class="org.springframework.security.access.vote.AffirmativeBased">
    <beans:property name="allowIfAllAbstainDecisions" value="true" />
    <beans:property name="decisionVoters">
        <beans:list>
            <beans:bean class="org.springframework.security.access.vote.RoleVoter" >
                <beans:property name="rolePrefix" value="ROLE_"/>
            </beans:bean>
        </beans:list>
    </beans:property>
</beans:bean>

SERVICE type에 대한 Resource 권한 정보는 <custom-filter>로 com.poscoict.glueframework.security.filter.GlueServiceFilter를 설정해 준어야 한다.

GlueInvocationDefinitionSource

GlueInvocationDefinitionSource는 DB로부터 URL Resource 정보를 가져오도록 되어 있으며 GlueInvocationDefinitionSource가 정상 동작 하기 위해서는 security-service가 있어야 하며 쿼리 ID로 security.urlRepository.select(예제 소스의security-query.glue_sql 참고)가 등록 되어 있어야 한다.
다음은 API 모듈(glue-security-access-{version}.jar) 에 포함된 security-service.xml의 일부이다.

<service . . .>
    <activity name="getUrlPattern" class="com.poscoict.glueframework.biz.activity.GlueJdbcSearch">
        <transition name="success" value="end"/>
        <property name="sql-key" value="security.urlRepository.select"/>
        <property name="dao" value="securityDao"/>
        <property name="param-count" value="0"/>
        <property name="result-key" value="ResourcePattern"/>
    </activity>
. . .중략 . . .

GlueInvocationDefinitionSource는 security-service을 실행 시키고, 결과값은 ResourcePattern을 통해 획득한다. GlueInvocationDefinitionSource은 2개의 property를 갖으며, default 값은 다음과 같다.

<beans:bean id="glueInvocationDefinitionSource" class="com.poscoict.glueframework.security.GlueInvocationDefinitionSource">
    <beans:property name="glueService" value="security-service" />
    <beans:property name="resultKey" value="ResourcePattern"/>
</beans:bean>

프로젝트에 따라서 Resource 정보를 가져오는 로직이 변경되어야 하는 경우 GlueJdbcSearch가 아닌 Custom Class로 설정할 수 있다. Custom Class를 작성하는 경우 GlueContex에 Resource 권한 정보가 담겨야 한다. Resource 권한 정보는 ‘ResourcePattern’를 key로 하여 List<Resource> 형태로 저장되어야 한다. ‘ResourcePattern’ 말고 다른 key를 사용하고자 한다면, Property 값으로 resultKey를 정의하면 된다.

GlueServiceFilter

Glue Security에서는 해당 User에게 특정 Service를 실행할 수 있는 권한이 있는가를 체크하는 기능을 제공하고 있다. <custom-filter>로 등록한 GlueServiceFilter를 통해 GlueService의 실행권한을 체크할 수 있다.

<http auto-config="true">
    <custom-filter ref="filterInvocationInterceptor" after="FILTER_SECURITY_INTERCEPTOR" />
    <custom-filter ref="gluefilter" before="FILTER_SECURITY_INTERCEPTOR" />
    <form-login login-page="/login.jsp"/>
</http>
<beans:bean id="gluefilter" class="com.poscoict.glueframework.security.filter.GlueServiceFilter"/>

GlueServiceFilter는 1개의 property를 갖으며, default 값은 다음과 같다.

<beans:bean id="gluefilter" class="com.poscoict.glueframework.security.filter.GlueServiceFilter">
    <beans:property name="serviceAuthorityManagerId" value="serviceAuthorityManager"/>
</beans:bean>

Glue Service의 실행 권한을 체크하기 위해서는 Service의 실행 권한 정보를 읽어오는 serviceAuthorityanager 가 필요하다. serviceAuthorityanager는 applicationContext.xml에 등록된 bean id 이며, com.poscoict.glueframework.security.authority.GlueServiceAuthorityManager 구현체이다. Glue Security API에서는 DB로부터 Service의 실행 권한을 읽어오는 GlueServiceAuthorityDbManagerImpl을 제공하고 있다.
GlueServiceAuthorityDbManagerImpl은 2개의 property 갖고, default 값은 아래와 같다.

<bean id="serviceAuhorityManager" class="com.poscoict.glueframework.security.authority.GlueServiceAuthorityDbManagerImpl">
    <property name="jdbcDao" ref="securityDao"/>
    <property name="queryKey" value="security.serviceRoles.select"/>
</bean>

jdbcDao는 Security DB에 접근 가능한 GlueJdbcDao를 설정하면 된다.

GlueSecurityUtil 사용

GlueSecurityUtil에서는 로그인시 생성된 User객체를 통해 화면의 Component에 대한 권한이 있는지 없는지를 체크하는 hasAuthority메서드를 제공하고 있다.

JSP 화면에서는 아래와 같은 방식으로 사용할 수 있다.

<title>Sample</title>
. . . .
<% if(GlueSecurityUtil.hasAuthority("use")){%>
<input type=submit name="save">
<% }else{ %>
<input type=submit name="save" disabled="true">
<% } %>
<BR/>

Tag 활용

GlueUserDetailsService에서 설정된 User정보를 기반으로 각 화면의 Component에 접근 권한이 있는지 없는지를 체크하는 Tag를 만들어 사용할 수 있다. (JSP 2.0 이상)
Tag 를 설정하기 위해서는 hasAuth.tag파일을 만든고, WEB-INF밑의 tags폴더에 넣어두어야 한다.

[WEB-INF]
    ├ [lib]
    ├ [security]
    ├ [tags]
    │   └ hasAuth.tag
    ├ dispatcher-servlet.xml
    └ web.xml

hasAuth.tag는 다음과 같이 만든다.

<%@ tag body-content="scriptless" pageEncoding="utf-8" description="" %>
<%@ attribute name="page" %>
<%@ attribute name="component" %>
<%@ attribute name="role" required="true" %>
<%@ tag import="com.poscoict.glueframework.security.util.GlueSecurityUtil" %>
<% 
if(page == null ) page = "ALL";
if(component == null) component = "ALL";
if(GlueSecurityUtil.hasAuthority(page,component,role)){
%>
<jsp:doBody/>
<% } %>

태그를 사용하고자 하는 JSP에서는 tagdir로 ‘/WEB-INF/tags’를 선언해 주면 hasAuth태그를 사용할 수 있다. hasAuth 태그 사용 예는 아래와 같다.

. . . 중략 . . .
<%@ taglib tagdir="/WEB-INF/tags" prefix="glue"%>
<html>
. . . 중략 . . .
<body>
. . . 중략 . . .
<glue:hasAuth role="use"><input type=submit name="save"></glue:hasAuth>
. . . 중략 . . .
</body>
</html>

태그 attribute값으로 page, component, role값을 설정 해 줄 수 있으며 role은 필수 값이며 page, component는 설정하지 않으면 ALL로 설정한다.
page, component, role값에 해당하는 권한이 있으면 태그 내의 값이 표시되고 그렇지 않으면 표시되지 않는다.
위와 같이 태그를 사용하였을 경우 pageId는 ALL, componentType은 ALL, roleType은 WRITE인지. GlueSecurityUitl의 hasAuthority()를 이용한다. view component 권한이 있으면 화면에 태그 내의 내용이 표시되고, 즉 save 버튼이 표시된다. view component 권한이 없으면 아무것도 표시되지 않는다.