Spring Security

// 클라이언트 요청 → 서블릿 컨테이너
// → DelegatingFilterProxy → FilterChainProxy
// → SecurityFilterChain (여러 Filter들의 체인)
// → DispatcherServlet → Controller

// 개발자가 직접 만드는 커스텀 필터 위치 지정 예시
http.addFilterBefore(
    jwtFilter,
    UsernamePasswordAuthenticationFilter.class
);
// UsernamePasswordAuthenticationFilter 앞에 JwtFilter 끼워넣기

// Spring Security
implementation 'org.springframework.boot:spring-boot-starter-security'

// JWT 라이브러리 (jjwt)
implementation 'io.jsonwebtoken:jjwt-api:0.11.5'
runtimeOnly    'io.jsonwebtoken:jjwt-impl:0.11.5'
runtimeOnly    'io.jsonwebtoken:jjwt-jackson:0.11.5'

@Configuration
@EnableWebSecurity        // Spring Security 활성화
@RequiredArgsConstructor
public class SecurityConfig {

    private final JwtFilter jwtFilter;
    private final CustomAuthenticationEntryPoint authEntryPoint;
    private final CustomAccessDeniedHandler accessDeniedHandler;

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {

        http
            // REST API는 CSRF 비활성화 (쿠키/세션 안 쓰니까)
            .csrf(csrf -> csrf.disable())

            // JWT 쓰면 세션 불필요 → STATELESS
            .sessionManagement(session -> session
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS))

            // URL별 권한 설정
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/auth/**").permitAll()   // 로그인/회원가입은 허용
                .requestMatchers("/api/admin/**").hasRole("ADMIN") // 관리자만
                .anyRequest().authenticated()               // 나머지는 로그인 필요
            )

            // 401/403 커스텀 처리
            .exceptionHandling(ex -> ex
                .authenticationEntryPoint(authEntryPoint)    // 401
                .accessDeniedHandler(accessDeniedHandler))   // 403

            // CORS 설정
            .cors(Customizer::withDefaults)

            // JWT 필터 등록 — UsernamePasswordAuthenticationFilter 앞에
            .addFilterBefore(jwtFilter,
                UsernamePasswordAuthenticationFilter.class);

        return http.build();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public AuthenticationManager authenticationManager(
            AuthenticationConfiguration config) throws Exception {
        return config.getAuthenticationManager();
    }
}

// Spring Security는 User 객체를 직접 모름
// UserDetails 인터페이스를 구현한 객체만 이해함

@Getter
public class CustomUserDetails implements UserDetails {

    private final User user;  // 우리 User 엔티티를 감쌈

    public CustomUserDetails(User user) {
        this.user = user;
    }

    // 권한 목록 반환
    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        return List.of(new SimpleGrantedAuthority("ROLE_" + user.getRole()));
        // ROLE_USER, ROLE_ADMIN 형식이어야 함
    }

    @Override
    public String getPassword() { return user.getPassword(); }

    @Override
    public String getUsername() { return user.getEmail(); }
    // 이메일을 username으로 씀 (아이디 역할)

    // 계정 상태 관련 — 일단 전부 true로 반환
    @Override public boolean isAccountNonExpired() { return true; }
    @Override public boolean isAccountNonLocked() { return true; }
    @Override public boolean isCredentialsNonExpired() { return true; }
    @Override public boolean isEnabled() { return true; }

    // 우리 User 엔티티 꺼내기
    public User getUser() { return user; }
    public int getUserId() { return user.getId(); }
}

@Service
@RequiredArgsConstructor
public class CustomUserDetailsService implements UserDetailsService {

    private final UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String email)
            throws UsernameNotFoundException {

        User user = userRepository.findByEmail(email)
            .orElseThrow(() ->
                new UsernameNotFoundException("없는 사용자: " + email));

        return new CustomUserDetails(user);
    }
}

// Spring Security가 로그인 처리할 때 이 메서드를 자동 호출함
// 이메일로 DB에서 사용자 찾아서 UserDetails로 감싸서 반환
// 없으면 UsernameNotFoundException → 자동으로 401 처리

// SecurityConfig에서 Bean 등록 (Part 1 ④에서 이미 등록)
@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

// 회원가입할 때 — 비밀번호 암호화해서 저장
@Transactional
public User 회원가입(UserCreateRequest request) {
    User user = new User();
    user.setPassword(passwordEncoder.encode(request.getPassword()));
    // "1234" → "$2a$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy"
    return userRepository.save(user);
}

// 로그인할 때 — Spring Security가 자동으로 비교
// passwordEncoder.matches("입력한PW", "DB에저장된해시값")
// → true / false
// 직접 호출할 일은 거의 없음. AuthenticationManager가 자동으로 처리.

// 방법 1 — SecurityContextHolder에서 직접 꺼내기
public User getCurrentUser() {
    Authentication auth = SecurityContextHolder
                            .getContext()
                            .getAuthentication();

    CustomUserDetails userDetails = (CustomUserDetails) auth.getPrincipal();
    return userDetails.getUser();
}

// 방법 2 — Controller에서 @AuthenticationPrincipal 사용 (더 편리)
// → ⑩에서 설명

// JwtFilter에서 인증 정보 저장하는 방법
UsernamePasswordAuthenticationToken authentication =
    new UsernamePasswordAuthenticationToken(
        userDetails,    // principal
        null,            // credentials (JWT 방식에선 null)
        userDetails.getAuthorities()  // 권한 목록
    );

SecurityContextHolder.getContext().setAuthentication(authentication);
// 이걸 설정해야 이후 Filter/Controller에서 인증된 사용자로 인식됨