helloworld

에러 해결하기 ..

hellojava — Thu, 2 Nov 2023 14:12:52 +0900

ExceptionHandlerExceptionResolver : Resolved [org.springframework.dao.InvalidDataAccessApiUsageException: org.hibernate.TransientPropertyValueException: object references an unsaved transient instance - save the transient instance before flushing : cohttp://m.toy.project.file.domain.FileEntity.product -> cohttp://m.toy.project.product.domain.Product; nested exception is java.lang.IllegalStateException: org.hibernate.TransientPropertyValueException: object references an unsaved transient instance - save the transient instance before flushing : cohttp://m.toy.project.file.domain.FileEntity.product -> cohttp://m.toy.project.product.domain.Product]

file 테이블과 product 테이블을 만드는 과정에서 생긴 에러다. 아마도 fk맺다가 생긴 에러인 것 같은데 굉장히 많은 삽질이 필요 할 것 같다..

@Entity
@Getter
@NoArgsConstructor
@AllArgsConstructor
@Builder
@Table(name = "file")
public class FileEntity {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private long id;

@ManyToOne(fetch = FetchType.LAZY)
@JoinColumn(name = "prod_id")
private Product product;

@Column(name = "originalName", nullable = false)
private String originalName;

@Column(name = "size", nullable = false)
private long size;

@Column(name = "createDate", nullable = false)
private Date createDate;

@Column(name = "status", nullable = false)
@ColumnDefault("1")
private int status;
}

@Getter
@NoArgsConstructor
@AllArgsConstructor
@Entity
@Builder
public class Product {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private long prod_id;//PK

@ManyToOne(fetch = FetchType.LAZY)
@JoinColumn(name = "member_num")
private Member member;//fk

@Column(name = "prod_name", nullable = false)
private String prod_name; //상품명

@Column(name = "kind_num")
private int kind_num; //카테고리 번호

@Column(name = "grade", nullable = false)
@ColumnDefault("0.0")
private double grade;//평점

@Column(name = "views", nullable = false)
@ColumnDefault("0")
private long views;//조회수

@Column(name = "cost", nullable = false)
private int cost;//원가

@Column(name = "price", nullable = false)
private int price;//판매가

@Column(name = "profit", nullable = false)
private int profit;//순수익

@Column(name = "description", nullable = false)
private String description;//판매내용

@Temporal(TemporalType.TIMESTAMP)
@Column(name = "reg_date")
private Date reg_date = new Date();

@Column(name = "status", nullable = false)
@ColumnDefault("1")
private int status = 1;//품절 or 상품 내릴시 0

@OneToMany(mappedBy = "product",cascade = CascadeType.ALL)
private List<FileEntity> files;

}

one to many에서 실수 한거 같아보이진 않는데

일단 product는 게시글이고 (지금보니 이름을 바꿔야 할 것 같긴하다.. 애완동물용품웹을 만들고있는데 상품을 올린다고 생각하여 product라 지었는데 이렇게 쓰다보니 괜찮은 것 같기도..)

file은 게시글을 쓸 때 같이 올라갈 사진인데

게시글 : 사진 --> 1 : n

이게 맞지않나.. 1개의 게시글이 있으면 여러개 혹은 한개의 사진이 있고 게시글이 없으면 사진도 존재하지 않는다..

열심히 삽질 해보자 ,,

생각보다 빨리 해결됐다. 무한 구글링 중에 영속성을 각각 따로 설정해주라는 말과 함께 대부분 cacade가 되어있을텐데 그걸 없애면 될 것이라고 한다.. 해봤더니 성공! 로컬pc에 사진 올리는 테스트 중이었는데

50개나 저장 되어버린 사진 ㅠ 아무튼 되서 다행이긴한데

서버를 실행하면 이런 게 엄청 많이 나온다,, 예상에는

jpa:
show-sql: true
defer-datasource-initialization: true
hibernate:
ddl-auto: create

create라 db 삭제했다 다시 만들텐데 fk가 안지워지는 느낌인 것 같긴한데 ,, 저것도 해결 해야겠지

jwt토큰 만들어서 응답해주기

hellojava — Fri, 20 Oct 2023 13:53:14 +0900

프로젝트를 생성 할 때 jwt라이브러리를 넣어줬었다.

override한 successfulAuthentication 메서드에서 가지고 있는 파라미터인 Authentication 객체를

PrincipalDetails 으로 다운캐스팅해 놓는다.

String jwtToken = JWT.create()
.withSubject("cos토큰")//토큰이름
.withExpiresAt(new Date(System.currentTimeMillis()+(60000*10)))//토큰만료시간 현재시간+10분 60초*10
.withClaim("id",principalDetails.getUsers().getId())
.withClaim("username",principalDetails.getUsers().getUsername())
.sign(Algorithm.HMAC512("cos"));//사인

이런식으로 토큰을 생성 해준 후

response.addHeader("Authorization","Bearer "+jwtToken);

헤더에 달아 준다. 중요 Bearer뒤에는 무조건 공백을 넣어주라고 한다.

그 후 로그인을 해보면

짠 토큰이 생긴다. Bearer 뒤의 온 토큰을 복사하여 jwt.io에 넣어보면

토큰 생성 완료..!

jwt를 위한 강제 로그인

hellojava — Fri, 20 Oct 2023 13:25:18 +0900

UsernamePasswordAuthenticationFilter 를 상속받은 JwtAuthenticationFilter 클래스에서 attemptAuthentication과 successfulAuthentication을 overried 하였다.

attemptAuthentication 여기에서는 username과 password를 받아서 파싱을 한 후 UsernamePasswordAuthenticationToken 에 집어넣는다.

그 후에는 PrincipalDetailsService 의 loadUserByUsername()함수가 실행되고, 정상이면 (db에 있는 username과 password가 일치하면) authentication이 리턴된다.

그 후 authentication을 PrincipalDetails에 다운캐스팅하여 넣고 로그에 찍어보면 로그인이 됐는지 확인 할 수 있다.

authentication 객체를 session 영역에 저장해야하고 그 방법이 return 해주는 것이다.

리턴의 이유는 권한관리를 springsecurity가 대신 해주기때문에 편하게 하려고 하는것이다.

굳이 jwt토큰을 사용하면서 세션을 만들 이유는 없지만 권한처리를 위해 session영역에 넣어주는 것이다.

@Override
public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
System.out.println("JwtAuthenticationFilter : 로그인 시도중");
//1. username, password 받아서
try {
// BufferedReader br = request.getReader();
// String input = null;
// while((input = br.readLine()) != null)
// System.out.println(input);
// System.out.println(request.getInputStream().toString());

ObjectMapper om = new ObjectMapper(); //json 데이터 파싱
Users users = om.readValue(request.getInputStream(), Users.class);
System.out.println("users = " + users);

UsernamePasswordAuthenticationToken authenticationToken =
new UsernamePasswordAuthenticationToken(users.getUsername(), users.getPassword());

//PrincipalDetailsService의 loadUserByUsername() 함수가 실행된 후 정상이면 authentication이 리턴됨
// db에 있는 username 과 password 가 일치
Authentication authentication = authenticationManager.authenticate(authenticationToken);

PrincipalDetails principalDetails = (PrincipalDetails) authentication.getPrincipal();
System.out.println("principalDetails : " + principalDetails.getUsers().getUsername());//로그인 완료

// authentication 객체가 session 영역에 저장해야하고 그 방법이 return 해주면 됨
// 리턴의 이유는 권한 관리를 security가 대신 해주기 때문에 편하려고 하는거임.
// 굳이 jwt 토큰을 사용하면서 세션을 만들 이유는 없음. 근데 단지 권한처리때매 session을 넣어줌

return authentication;

}
catch (IOException e) {
throw new RuntimeException(e);
}

}

//로그창

users = Users(id=0, username=ssar, password=1234, roles=null)
PrincipalDetailsService의 loadUserByUsername()
Hibernate: select users0_.id as id1_0_, users0_.password as password2_0_, users0_.roles as roles3_0_, users0_.username as username4_0_ from Users users0_ where users0_.username=?
principalDetails : ssar

아직 너무너무 어렵다 ㅠ

successfulAuthentication는 위의 함수에서 인증이 정상적으로 되었으면 실행되는 함수이다.

jwt토큰을 만들어서 request 요청한 사용자에게 jwt토큰을 response해주는 함수를 만들ㅇ ㅖ정이다.

jwt 임시 토큰 만들어보기

hellojava — Thu, 19 Oct 2023 16:54:38 +0900

우선 필터에 대한 이해가 필요하다.

필터를 간단하게

public class MyFilter1 implements Filter {
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
System.out.println("필터1");
chain.doFilter(request,response);

}
}

이런 식으로 만든후

filterConfig이라는 파일을 생성한다

@Configuration
public class FilterConfig {

@Bean
public FilterRegistrationBean<MyFilter1> filter1() {
FilterRegistrationBean<MyFilter1> bean = new FilterRegistrationBean<>(new MyFilter1());
bean.addUrlPatterns("/*");
bean.setOrder(0);//낮은 번호가 필터중 가장 먼저 실행 됨
return bean;

}

필터가 많아질 경우에는 빈을 더 추가하여 setOrder 안에 파라미터로 그 순서를 조절 할 수 있다.

securityConfig 파일에

http.addFilterBefore(new MyFilter3(), SecurityContextPersistenceFilter.class);//filterConfig보다 빨리 실행됨

이런식으로 코드를 작성하면 filterConfig보다 빠르게 실행된다. 또한 springSecurity 보다 빨리 실행되게 된다.

우선 대충 컨트롤러에

@PostMapping("/token")
public String token() {
return "<h1>home</h1>";
}

post 메서드를 만든다.

@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
HttpServletRequest req = (HttpServletRequest) request;
HttpServletResponse res = (HttpServletResponse) response;

//토큰 : cos 이걸 만들어줘야함. id,pw 정상적으로 들어와서 로그인이 완료되면 토큰을 만들어주고 그걸 응답해준다.
//요청 할 때마다 header에 Authorizaion에 value 값으로 토큰을 가지고 온다.
//그때 토큰이 넘어오면 이 토큰이 내가 만든 토큰이 맞는지 검증만 하면 된다. (RSA, HS256)
if (req.getMethod().equals("POST")) {
System.out.println("POST요청됨");
String headerAuth = req.getHeader("Authorization");
System.out.println("headerAuth = " + headerAuth);
System.out.println("필터3");

if (headerAuth.equals("cos")) {
chain.doFilter(req,res);
}else{
PrintWriter out = res.getWriter();
out.println("인증안됨");
}
}
}

내가 정해둔 cos라는 토큰?을 만들고 포스트맨에 headers에 밸류값으로 cos가 들어오지 않으면 필터가 작동하지 않고

인증안됨. 이라는 문자만 나온다.

이걸 지금은 내가 지정한 cos로 하였지만 나중엔 RSA나 HS256로 암호화된 토큰을 보내주고 받으며 검증을 해주면 된다.

JWT 를 위한 Security 설정

hellojava — Thu, 19 Oct 2023 14:58:21 +0900

여태 이론적으로 공부를 맛봤고 본격 코딩작업에 들어간당.

jwt를 사용하기 위해 config설정을 해줄게 조금 있었다.

우선 프로젝트를 생성 할 때 lombok,jpa,security,web,devtools,db를 넣어준다.

그 후 mavenrepository에서 jwt를 위한 dependency를 가져와 추가한다.

https://mvnrepository.com/

나는 버전이 높고 사람들이 가장 많이 사용한 버전을 가져와 추가하였다.

dependencies {
implementation 'org.springframework.boot:spring-boot-starter-data-jpa'
implementation 'org.springframework.boot:spring-boot-starter-security'
implementation 'org.springframework.boot:spring-boot-starter-web'
implementation group: 'com.auth0', name: 'java-jwt', version: '4.4.0'

compileOnly 'org.projectlombok:lombok'
developmentOnly 'org.springframework.boot:spring-boot-devtools'
runtimeOnly 'com.mysql:mysql-connector-j'
annotationProcessor 'org.projectlombok:lombok'
testImplementation 'org.springframework.boot:spring-boot-starter-test'
testImplementation 'org.springframework.security:spring-security-test'
}

기본적인 세팅은 완료가 되었고 controller와 model, config파일을 우선 만들었다.

controller는 @RestController를 이용하여 restapi를 사용하기 위해 준비 해놓았고

model에는 간단히 Users파일을 만들어놓았다.

@Entity
@Data
public class Users {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private long id;
private String username;
private String password;
private String roles;//user,admin

public List<String> getRoleList() {
if (this.roles.length() > 0) {
return Arrays.asList(this.roles.split(","));
}
return new ArrayList<>();
}
}

roles는 유저의 사용자 권한인데 user, admin등 여러개가 들어 갈 수 있다고 판단하여 roles라고 지정 해 놓은 후

권한이 여러개인 유저는 , 으로 구분하여 리턴받을 수 있도록 하였다.

그 후 config에 SecurityConfig, CorsConfig 파일 만들었다.

우선 CorsConfig에 configuration 이라는 어노테이션을 달고, CorsFilter라는 객체로 메서드를 만든 후 빈으로 등록해주었다.

@Configuration
public class CorsConfig {
@Bean
public CorsFilter corsFilter() {
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
CorsConfiguration config = new CorsConfiguration();
config.setAllowCredentials(true);//내 서버가 응답할때 json을 자바스크립트에서 처리할 수 있게 할지를 설정하는 것.
config.addAllowedOrigin("*");//모든 ip에 응답을 허용
config.addAllowedHeader("*");//모든 header에 응답을 허용
config.addAllowedMethod("*");//모든 post,get,put,delete,patch 모든 응답 허용
source.registerCorsConfiguration("/api/**", config);
return new CorsFilter(source);
}
}

@Configuration
@EnableWebSecurity
@RequiredArgsConstructor
public class SecurityConfig extends WebSecurityConfigurerAdapter {

private final CorsFilter corsFilter;
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable();
http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)//세션 사용안함
.and()
.addFilter(corsFilter)//@CorssOrigin(인증X) , 시큐리티필터에 등록 인증(0)
.formLogin().disable()//form로그인 안씀
.httpBasic().disable()
.authorizeRequests()
.antMatchers("/api/v1/users/**")
.access("hasRole('ROLE_USER') or hasRole('ROLE_MANAGER') or hasRole('ROLE_ADMIN')")
.antMatchers("/api/v1/manager/**")
.access("hasRole('ROLE_MANAGER') or hasRole('ROLE_ADMIN')")
.antMatchers("/api/v1/admin/**")
.access("hasRole('ROLE_ADMIN')")
.anyRequest().permitAll();
}
}

form로그인과 세션을 사용한다는 내용과 권한에 대한 내용이다.

또한 만들어놓은 filter로 필터도 추가해 놓았다.

httpBasic방식은 쿠키와 세션을 사용하지 않는다고 생각할 때 기존의 httpBasic방식은 header의 authorization이라는 키값에 id와 pw를 담아서 보낸다. 하지만 노출이 된다면 보안적으로 굉장히 불리하기 떄문에 https(secure)를 사용하면 암호화가 되긴 한다.

하지만 Bearer인증방식은 authorization 에 id,pw를 토큰에 넣어서 보낸다. 기존 basic 방식보다 보안적으로 안전한 방식이다. 물론 똑같이 노출이 되면 안되지만 노출이 되어도 서버쪽에서 토큰을 계속 만들어 주기 때문에 안전한 방식이라고 한다.

이 토큰을 만들 때 JWT 을 만드는 것이다. 이 방식을 사용하기 떄문에 session방식도 사용 안하고 basic,formlogin 등을 하지 않는다고 선언 하는 것이다.

JWT 구조 이해

hellojava — Wed, 18 Oct 2023 16:02:43 +0900

https://jwt.io/introduction

JWT.IO

JSON Web Tokens are an open, industry standard RFC 7519 method for representing claims securely between two parties.

jwt.io

이 사이트를 보면 JWT에 대한 설명을 확인 할 수 있다.

JWT는 보안을 제공하긴 하지만 요점은 누가보냈나?에 중점을 둔 기술?이다

JWT의 구조는 header/payload/signature 라고 한다.

xxxxx.yyyyy.zzzzz 라고 표현한다.

헤더에는 알고리즘은 뭐로 사용했는지, 타입이 뭔지 나타나있다.

{ "alg": "HS256", "typ": "JWT" }

페이로드는 어떠한 정보 부분이다. 이 정보는 클레임을 가지고 있다. 클레임은 등록 된 클레임과 개인 클레임으로 이루어지 는데 등록 된 클레임은 필수 조건은 아니지만 권장되는 클레임 집합니다. 그 내용에는 발행자, 만료시간, 주제, 청중 등이다.

개인 클레임엔 유저아이디같은 것을 넣는다고 한다. 공개되도 상관 없지만 그 유저인지 특정 할 수 있는 PK를 개인클레임에 넣을 예정이라고 한다.

{ "sub": "1234567890", "name": "John Doe", "admin": true }

sub나 name은 등록된 클레임인 것 같고 admin은 개인이 원하면 만들어 낼 수 있는 키 밸류값일 것이라고 한다.

header에는 어떤 알고리즘으로 암호화했는지를 넣고

payload에는 어떠한 정보들을 담는다.

signature에는 header와 payload, 나만 알고 있는 개인키를 넣는다.

id 와 pw 로 로그인 요청을 하면 서버는 서버만 알고 있는 key값을 이용하여 jwt 토큰을 만든후 클라이언트에 보낸다.

이후 클라이언트는 로컬스토리지라는 영역에 들고 있다가 서버에게 '내 정보 좀 줘' 하면서 jwt 토큰을 같이 보낸다.

서버는 토큰이 유효한 토큰인지 확인 해야한다. 만약 클라이언트에서 보낸 토큰이 12345 라고 했을때 서버는 그 토큰을 복호하고 하는 것이 아니라 서버만 가지고 있는 key를 이용하여 다시 암호화를 해본다. 유효한 토큰이라면 12345가 똑같이 나올 것이다. 그러면 payload에 있는 id값을 이용하여 쿼리문을 날리고 다시 클라이언트에 정보를 보내준다.

만약 RSA 암호방식을 사용하고 싶다면

header에 RSA를 넣고

payload에 username : woo

signiture ---- 개인키 (header + payload)

시그니쳐에 secret키를 넣는 것이 아닌 header와 payload를 개인키로 묶어 보낸다.

다시 클라이언트에서 서버로 요청이 왔을 때에는 공개키로 열어서 확인만 하면 인증이 가능하다.

설명만 들었을 때에는 RSA가 더 간편해 보이긴 하는데 HS256방식을 더 많이 선호한다고 한다.

RFC 문서

hellojava — Wed, 18 Oct 2023 15:24:02 +0900

RFC문서란 무엇인가.. 대략적으로 설명을 들었다.

먼저 미국의 벨연구소란 곳에서 내부통신망을 이용하여 소통?을하고 있었다.

근데 별도의 내부통신망을 이용하던 A대학에서 '나도 너네랑 소통할게 있어' 라며 벨연구소와 소통약속을 만들었다. 그게 RFC 1번문서이다.

또 B대학에서 C대학에서... 이 대학들이 서로 소통하는것을 World Wide Web (www) 인터넷이고 소통하며 만든 약속들이 RFC 문서들이다.

즉 인터넷은 RFC문서로 만들었고 이 약속들이 http 프로토콜이다.

JWT는 7519번째 RFC이다.

만약 현재 시점에서 W라는 대학교가 www에 끼고싶은데 W대학의 특별한 규칙을 넣고 싶을 때에는 모든 대학들의 동의를 얻어야만 한다.

처음 RFC가 만들어지고 있을때에는 상호간의 동의만 있다면 서로 동등한 위치에서 규칙을 만들었을 것이다. 하지만 지금은 동등한 위치가 아닐 것이다.

RSA

hellojava — Tue, 10 Oct 2023 18:13:16 +0900

RSA(암호화)

Public Key : 공개 키
Private Key : 개인 키

a가 b에게 메시지를 보낼때 b의 공개키로 암호화 하여 메시지를 보낸다.

b의 공개키로 암호되어있기 때문에 b의 개인키로만 풀 수 있기 때문에 중간에 누가 가로채더라도 읽을 수 없다.

공개키를 담아서 보내면 암호화 (개인키로 풀어서 봄)

개인키를 담아서 보내면 전자서명..(공개키로 풀어서 봄) (해커가 봐도 상관 없단 마인드..?)

암호화가 필요한 문서를 보낼때에

우선 상대의 공개키로 암호화를 한 후에, 자신의 개인키로 묶어서 보낸다.

그렇다면 중간에 누가 가로채서 변형 후 b에게 보내도 (해커는 A의 개인키를 모르기때문에 A와 같이 암호화 못함) 인증이 안된 문서이기 때문에 볼 필요가 없다.

즉 RSA의 방식으로 암호화를 한다면 누가 보냈는지, 암호화에 대한 이슈를 해결 할 수 있다.

CIA

hellojava — Tue, 10 Oct 2023 17:43:48 +0900

CIA ( Confidentiality Integrity Availability )란

Confidentiality : 기밀성

Integrity : 무결성

Aailability : 가용성

a,b,c 나라가 있다고 생각해 보자

a나라가 c 나라에 b나라가 보면 안되는 문서를 보내야한다.

하지만 중간에 c 나라에게 걸렸고 문서를 c나라가 봤다면 기밀성이 깨진 것이다.

c나라가 만일 그 문서를 파기하고 변조해서 b 나라에 보낸다면 기밀성이 깨짐과 동시에 무결성이 깨진 것이다.

이 문서가 b나라에 전달된 순간 가용성까지 깨진것이다. 내가 원하는 문서에 제대로 접근할 수 있는가에 대한 내용인데 이미 변조가 되었기 때문에 ...

그냥 문서를 보내게 된다면 CIA는 깨지는 것이다.

계속 강의를 듣다보면 이런 보안이슈에 대한 해결법을 배울 수 있을것 같다

TCP

hellojava — Tue, 10 Oct 2023 15:58:31 +0900

통신 OSI 7계층

물리,데이터링크,네트워크,트랜스포트,세션,프리젠테이션,응용

*TCP 신뢰성! 속도X 웹은 tcp

A--------------------------------B

----------->안뇽------------>

<-----------ACK--------------

--------->반가워---------->

----------ack를 못보냄------

------------>반가워------>

<---------------ACK--------

(ACK를 a가 못받음 유실or

누군가 낚아챔, 통신끊김)

------------>반가워----->

<--------------ACK--------

UDP 신뢰성X 속도! 사람이 추측할만한것을 udp

A------------------------B

--------->안녕----->

--------->반가워---->

------데이터를 ack안받고 보냄

주로 전