Spring boot 3.1.2 + Spring Boot Starter OAuth2 Authorization Server 적용기

간단 소개

Spring Boot 3.1.2 환경에서 Spring Security OAuth2 Authorization Server를 커스터마이징하여 ROPC 프로토콜을 구현한 경험 공유.

AI Summary

Spring Boot 3.1.2 + OAuth2 Authorization Server 적용 배경
- Spring 2.x 버전의 지원 종료 임박 및 기술 부채 증가 우려로 Spring Boot 3.1.2로 새로운 B2B 프로젝트를 진행하게 됨.
- 기존 Spring Security 기반의 Authorization Server 커스터마이징 방식의 문제점(deprecated 코드 사용, ROPC 스펙의 한계)을 해결하고자 함.
- Spring Security OAuth2 Authorization Server 라이브러리 적용을 시도했으나, ROPC 미지원으로 인해 커스터마이징 구현 결정.
Spring Security 인증 과정 및 커스터마이징
- Spring Security의 인증 과정을 AuthenticationFilter, AuthenticationManager, AuthenticationProvider를 통해 이해하고, 커스터마이징을 위해 Authentication, AuthenticationProvider 구현체를 주입해야 함을 파악.
- Spring Authorization Server의 Configurer를 활용하여 tokenEndpoint와 tokenIntrospectionEndpoint를 설정하고, ROPC 프로토콜을 위한 토큰 생성 및 검증 요청을 커스터마이징.
Custom Converter 및 Provider 구현
- CustomGrantAuthenticationConverter를 통해 요청 검증 및 변환을 수행하고, CustomGrantAuthenticationToken을 생성하여 Provider로 전달.
- CustomGrantAuthenticationProvider에서 사용자 인증, refresh 토큰 발급, 사용자 정보 주입 등을 구현하고, Access Token Customizer를 활용하여 추가 정보를 Access Token에 포함.
- TokenGenerator를 커스터마이징하여 Access Token에 사용자 정보를 추가하고, tokenIntrospectionEndpoint에도 유사한 방식으로 구현하여 인증 서버 구축.