[Spring] Spring Security(스프링 시큐리티) CSRF, CsrfFilter - 로그아웃 예제

공격의 위험성

해당 로직을 통해서 해커들이 공격을 한다.

• 사용자가 쇼핑몰에 로그인하고 나서 쿠키를 발급하면 사용자의 브라우저에 쿠키가 저장된다.
• 공격자가 링크를 이용자에게 전달하고 사용자는 링크를 클릭해서 공격용 웹페이지에 접속한다.
• 브라우저는 이미지 파일을 가져오기 위해서 공격용 url을 열고 쇼핑몰은 해당 쿠키를 가진 브라우저를 의심하지 않고 인증을 한다.

 

시큐리티는 이런 공격 방식을 방어하기 위해서 CsrfFilter를 만들어서 csrf의 취약점을 방지하고 있다.

 

CsrfFilter

• 모든 요청에 랜덤 하게 생성된 토큰을 HTTP 파라미터로 요구
• 요청 시 전달되는 토큰 값과 서버에 저장된 실제 값과 비교한 후 만약 일치하지 않으면 요청은 실패함

<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />

HTTP 메소드 : PATCH, POST, PUT, DELETE 사용할 경우에는 해당 csrf 토큰을 hidden으로 처리해서 인증할 수 있도록 해야 됨 → 안 그러면 accessDeniedHandler에 걸려서 접속하지 못하도록 처리함

• form방식으로 할거면 form태그 안에 이렇게 작성해야 정상적으로 작동된다.

 

 

➕ 스프링 시큐리티는 기본적으로 활성화되어 있으며 아래 코드를 추가하면 비활성화된다.

http.csrf().disabled() // 비활성화

 

 

 

Post 방식 사용 예시

로그아웃은 폼태그 안에서 사용해야 된다.

 

html

<form class="logout" id="logout" th:action="@{/logout}" method="POST">
	<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>
</form>

 

 

javascript

document.getElementById('logoutBtn').addEventListener('click', function (){
	document.getElementById('logout').submit();
});

 

 

SecurityConfig

.logout()
.logoutUrl("/logout")
.logoutSuccessUrl("/login")

 

 

 

---

해당 글은 인프런의 스프링시큐리티-Spring Boot 기반으로 개발하는 Spring Security를 보고 작성한 글입니다.