Spring Security RoleHierarchy 미적용 이슈

Spring Security를 사용해 권한 계층을 구현하려고 했으나 @Secured를 사용하면서 RoleHierarchy가 적용되지 않는 문제가 발생했다.

 

[환경]

java 11

Spring Boot 2.7.6

Spring Security 5.7.5

SpringBoot version / Spring Security version

 

[시나리오]

시나리오는 다음과 같다.

 

SecurityConfig 설정에서 @EnableGlobalMethodSecurity 설정을 이용해 securityEnabled = true 속성을 지정해 @Secured어노테이션을 사용

SecurityConfig

권한 계층을 지정하기 위해 다음과 같이 RoleHierarchy 설정을 Bean으로 등록

ADMIN > MANAGER > USER 설정으로 ADMIN은 MANAGER, USER의 권한에 대해 수행 가능해야한다.

roleHierarchy

 

다음과 같이 @Secured 어노테이션에 대한 Custom Annotation을 만들어 진행했다.

Custom Annotation

MemberController

 

기대 효과 : Manager 권한을 가지고있는 유저가 /user1, /user2에 대해 수행 가능하고 /user3에 대해서는 권한부족으로 수행 불가.

 

Manager권한으로 테스트 한 결과

User 권한을 가지는 요청

Manager 권한을 가지는 요청

RoleHierarchy가 정상적으로 적용되지 않는 모습이다.

 

[해결과정]

아래 이슈를 통해 문제를 인지할 수 있었다.

https://github.com/spring-projects/spring-security/issues/9158

RoleHierarchy is ignored with GlobalMethodSecurityConfiguration and @Secured annotation · Issue #9158 · spring-projects/spring

 @EnableGlobalMethodSecurity 설정을 사용했을 경우 MethodSecurity (@Secured, @PreAuthorized 등)에 RoleHierarchy가 적용되지 않는다.

 

https://github.com/spring-projects/spring-security/issues/9158

대신 @EnableMethodSecurity 속성을 사용하면 이러한 문제를 해결할 수 있다.

 

+ @Secured를 사용하려면 @EnableMethodSecurity의 securedEnabled를 true로 설정해줘야한다.

@PreAuthorize, @PostAuthorize와 같은 경우는 default가 true라서 그냥 사용할 수 있다.