Security Overview

// ===== 2차에서 있었는데 3차에서 제거 =====
// implementation 'org.springframework.security:spring-security-crypto'
// → Spring Security 전체를 추가하면 crypto가 포함되므로 별도 불필요

// ===== 3차에서 새로 추가 =====
implementation "org.springframework.boot:spring-boot-starter-security"
// Spring Security 본체. Filter Chain, SecurityContext, 인증/인가 처리 전체 포함

testImplementation "org.springframework.boot:spring-boot-starter-security"
// 테스트 환경에서도 Security 설정 적용 (없으면 테스트 시 Security 무시됨)

// ===== 기존 유지 =====
implementation "io.jsonwebtoken:jjwt-api:0.12.3"
runtimeOnly   "io.jsonwebtoken:jjwt-impl:0.12.3"
runtimeOnly   "io.jsonwebtoken:jjwt-jackson:0.12.3"

## ===== 기존 유지 =====
spring.datasource.url=jdbc:mysql://localhost:3306/board
spring.datasource.username=root
spring.datasource.password=your_password
spring.jpa.hibernate.ddl-auto=update
spring.jpa.show-sql=true

jwt.secret=mySecretKey2024
jwt.expiration=86400000   // 24시간 (밀리초)

## ===== 3차에서 추가 =====
admin.code=ADMIN2024
// 관리자 코드 — 회원가입 시 이 코드를 입력하면 ROLE_ADMIN 부여
// @Value("${admin.code}")로 UserService에서 읽어옴
// 장점: 코드 수정 없이 properties만 바꾸면 관리자 코드 변경 가능

@Getter
public class CustomUserDetails implements UserDetails {
    private final User user; // 우리 User 엔티티를 그대로 보관

    public CustomUserDetails(User user) { this.user = user; }

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        return List.of(new SimpleGrantedAuthority(user.getRole()));
        // ROLE_USER 또는 ROLE_ADMIN → Security가 권한 체크할 때 사용
    }

    @Override public String getPassword() { return user.getPassword(); }
    @Override public String getUsername() { return user.getUsername(); }
    @Override public boolean isAccountNonExpired()  { return true; }
    @Override public boolean isAccountNonLocked()   { return true; }
    @Override public boolean isCredentialsNonExpired(){ return true; }
    @Override public boolean isEnabled()             { return true; }
}

@Component
public class JwtAuthenticationFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                       HttpServletResponse response,
                                       FilterChain filterChain) throws ... {
        String authHeader = request.getHeader("Authorization");

        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7); // "Bearer " 제거

            if (jwtUtil.validateToken(token)) {
                String username = jwtUtil.getUsername(token);
                UserDetails userDetails = customUserDetailsService.loadUserByUsername(username);

                // ★ 핵심 — Authentication 객체 만들어서 SecurityContext에 저장
                UsernamePasswordAuthenticationToken auth =
                    new UsernamePasswordAuthenticationToken(
                        userDetails, null, userDetails.getAuthorities());
                SecurityContextHolder.getContext().setAuthentication(auth);
            }
        }
        filterChain.doFilter(request, response); // 반드시 다음 Filter로 넘겨야 함
    }
}

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.disable())               // JWT 방식 → CSRF 불필요
            .sessionManagement(sm -> sm.sessionCreationPolicy(
                SessionCreationPolicy.STATELESS))      // 세션 안 씀
            .cors(cors -> cors.configurationSource(corsConfigurationSource()))
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/user/login", "/api/user/register").permitAll()
                .requestMatchers("/api/admin/**").hasRole("ADMIN")  // ROLE_ADMIN만
                .anyRequest().authenticated())              // 나머지는 로그인 필요
            .addFilterBefore(jwtAuthenticationFilter,
                UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

public void register(UserDto userDto) {
    String role = ("admin1234".equals(userDto.getAdminCode()))
        ? "ROLE_ADMIN"   // 관리자 코드 일치 → 관리자
        : "ROLE_USER";   // 아니면 일반 유저

    User user = User.builder()
        .username(userDto.getUsername())
        .password(bCryptPasswordEncoder.encode(userDto.getPassword()))
        .nickname(userDto.getNickname())
        .role(role)  // ← 여기서 결정된 role이 DB에 저장됨
        .build();
    userRepository.save(user);
}

@PostMapping("/api/board/write")
public ResponseEntity<?> write(
        @RequestBody BoardDto boardDto,
        @AuthenticationPrincipal CustomUserDetails userDetails) {
    // userDetails → Security가 SecurityContext에서 꺼내서 자동 주입
    // null 체크 불필요 — AuthorizationFilter가 이미 인증 보장
    User user = userDetails.getUser();
    boardService.write(boardDto, user);
    return ResponseEntity.ok("작성 완료");
}

// 로그인 여부 체크
const PrivateRoute = ({ children }) => {
    const token = localStorage.getItem("token");
    return token ? children : <Navigate to="/login" />;
};

// 관리자 여부 체크 (3차 신규)
const AdminRoute = ({ children }) => {
    const role = localStorage.getItem("role");
    return role === "ROLE_ADMIN" ? children : <Navigate to="/board/list" />;
};

// 라우터 적용
<Route path="/board/list"  element={<PrivateRoute><BoardList /></PrivateRoute>} />
<Route path="/admin"       element={<AdminRoute><AdminPage /></AdminRoute>} />

const response = await api.post("/api/user/login", { username, password });

localStorage.setItem("token", response.data.token);
localStorage.setItem("role", response.data.role); // ← 3차 추가 (ROLE_USER / ROLE_ADMIN)

navigate("/board/list");

const role = localStorage.getItem("role");

{role === "ROLE_ADMIN" && (
    <button onClick={() => navigate("/admin")}>관리자 페이지</button>
)}
// role이 ROLE_ADMIN일 때만 버튼 렌더링 — 일반 유저에게는 버튼 자체가 없음

const api = axios.create({ baseURL: "http://localhost:8080" });

api.interceptors.request.use(config => {
    const token = localStorage.getItem("token");
    if (token) {
        config.headers["Authorization"] = `Bearer ${token}`;
        // 모든 api.xxx() 호출마다 헤더 자동 첨부 — 개별 컴포넌트에서 토큰 처리 불필요
    }
    return config;
});