초기화 과정 이해#

1. SecurityBuilder, SecurityConfigurer#

스프링 시큐리티 초기화 과정에서 SecurityBuilder , SecurityConfigurer 가 작동함

스프링 시큐리티는 Filter 기반 프레임워크(모든 보안 처리를 필터에서 함)

SecurityBuilder는 웹 보안 관련된 빈 객체를 초기화하고 설정 클래스들을 생성하는 역할을 함

대표적으로 HttpSecurity, WebSecurity가 있음

SecurityBuilder는 SecurityConfigure를 참조하여 사용하고 있다.

처음에는 스프링의 AutoConfigure가 build()를 호출하여 SecurityBuilder 클래스를 생성한다.
SecurityBuilder 클래스는 SecurityConfigure 클래스를 생성한다.(SecurityConfigure 라는 이름의 설정 클래스를 생성하는 것임)
SecurityConfigure는 내부에 init(B Builder) , configure(B Builder) 메서드가 있어서 이를 통해 초기화를 진행함
이때 각 메소드 안에 들어 있는 파라미터인 B Builder는 SecurityBuilder 클래스가 들어간다.
→ HttpSecurity 또는 WebSecurity 등등 SecurityBuilder 클래스 타입

스프링 부트가 시작되면서 SecurityAutoConfiguration이 동작합니다. 이는 스프링 부트의 자동 설정 메커니즘의 시작점입니다.
SecurityAutoConfiguration은 HttpSecurityConfiguration을 로드합니다. 이 클래스는 HttpSecurity 객체를 생성하고 스프링 컨테이너에 빈으로 등록하는 역할을 합니다.
HttpSecurity 객체가 생성될 때 내부적으로 SecurityBuilder 패턴을 사용합니다. 이는 보안 설정을 단계적으로 구축하기 위한 빌더 패턴의 구현체입니다.
그 다음 우리가 정의한 SecurityConfig 클래스(SecurityConfigurer의 구현체)가 실행됩니다. 여기서 앞서 생성된 HttpSecurity 객체를 받아서 우리가 원하는 보안 설정을 추가합니다.
마지막으로 이 모든 설정이 build() 메서드를 통해 실제 SecurityFilterChain으로 변환됩니다. 이 필터 체인이 실제로 요청을 처리하게 됩니다.

HttpSecurityConfiguration 에서 HttpSecurity를 생성하고 초기화를 진행
HttpSecurity 는 보안에 필요한 설정 클래스와 필터를 생성하고 build()를 통해서 SecurityFilterChain 생성

SecurityFilterChain 은 인터페이스이고 하위 구현체로는 DefaultSecurityFilterChain 있다.

클라이언트가 요청이 SecurityFilterChain 에 있는 RequestMatcher를 통해 요청을 수행할 수 있는 필터가 있는지 확인한다.
URL 패턴과 일치하는지 확인


http
	.authorizeRequests()
	.antMatchers("/public/**").permitAll()
	.antMatchers("/admin/**").hasRole("ADMIN")
	.anyRequest().authenticated();

WebSecurityConfiguration에서 WebSecurity 객체 생성하고 초기화
WebSecurity 에 HttpSecurity가 만든 SecurityFilterChain을 자기 자신 내부의 SecurityBuilder에 저장
WebSecurity 는 build()를 실행하면 SecurityBuilder 내부에 있는 SecurityFilterChain을 꺼내서 FilterChainProxy를 만듬

결국 WebSecurity는 HttpSecurity의 상위 호환이다.

HttpSecurity가 생성
SecurityFilterChain 생성
WebSecurityConfigruration 에서 WebSecurity 생성
이 때 WebSecurity 내부에 있는 SecurityBuilder 에 HttpSecurity 가 만든 SecurityFilterChain을 집어 넣음
그걸 build하면 FilterChainProxy 가 만들어짐. 이때 FilterChainProxy 내부에는 SecurityFilerChains가 있다.

스프링에서 사용되는 특별한 서블릿 필터
서블릿 컨테이너와 스프링 ApplicationContext 사이의 연결고리 역할을 하는 필터
서블릿 필터의 기능을 수행하는 동시에 스프링의 의존성 주입 및 빈 관리 기능과 연동되도록 설계된 필터
springSecurityFilterChain 이라는 이름으로 생성된 스프링 Bean을 ApplicationContext에서 찾아 요청을 스프링 쪽으로 넘긴다.
실제 보안 처리는 하지 않음