Spring · 입력 검증과 보안 기초

// 1) DTO — 필드마다 규칙을 선언
public record SignupRequest(
    @NotBlank(message = "아이디는 필수입니다")
    @Size(min = 4, max = 20, message = "아이디는 4~20자")
    String username,

    @NotBlank
    @Pattern(regexp = "^(?=.*[A-Za-z])(?=.*\\d).{8,}$",
             message = "비밀번호는 영문+숫자 8자 이상")
    String password,

    @Email(message = "이메일 형식이 아닙니다")
    String email,

    @Min(value = 0, message = "나이는 0 이상")
    int age
) {}

// 2) 컨트롤러 — @Valid 하나로 검사 켜기
@RestController
@RequestMapping("/api/users")
@RequiredArgsConstructor
public class UserEndpoint {
  private final UserService userService;

  @PostMapping("")
  public UserDTO signup(@Valid @RequestBody SignupRequest req) {
    // 여기까지 왔다면 req 는 이미 모든 규칙을 통과한 상태
    return userService.create(req);
  }
}

// 3) 전역 검증 예외 처리 — 400 으로 변환
@RestControllerAdvice
public class ValidationExceptionHandler {

  @ExceptionHandler(MethodArgumentNotValidException.class)
  @ResponseStatus(HttpStatus.BAD_REQUEST)   // 400
  public Map<String, String> handle(MethodArgumentNotValidException e) {
    Map<String, String> errors = new HashMap<>();
    // BindingResult 에서 필드별 메시지를 꺼낸다
    for (FieldError fe : e.getBindingResult().getFieldErrors()) {
      errors.put(fe.getField(), fe.getDefaultMessage());
    }
    return errors;   // 예: { "username": "아이디는 필수입니다" }
  }
}

// 1) 애너테이션 정의 — 어떤 Validator 가 검사할지 연결
@Documented
@Constraint(validatedBy = UniqueUsernameValidator.class)
@Target(ElementType.FIELD)
@Retention(RetentionPolicy.RUNTIME)
public @interface UniqueUsername {
  String message() default "이미 사용 중인 아이디입니다";
  Class<?>[] groups() default {};
  Class<? extends Payload>[] payload() default {};
}

// 2) 실제 검사 로직
@RequiredArgsConstructor
public class UniqueUsernameValidator
    implements ConstraintValidator<UniqueUsername, String> {
  private final UserRepo userRepo;

  @Override
  public boolean isValid(String value, ConstraintValidatorContext ctx) {
    if (value == null) return true;        // null 은 @NotNull 의 몫
    return !userRepo.existsByUsername(value);
  }
}

// 3) 사용 — 표준 애너테이션처럼 그냥 붙인다
public record SignupRequest(@UniqueUsername String username) {}

@Configuration
@EnableWebSecurity
@RequiredArgsConstructor
public class SecurityConfig {

  private final JwtFilter jwtFilter;   // 직접 만든 JWT 검증 필터

  @Bean
  public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
      // REST + JWT 라서 CSRF·세션·폼로그인을 끈다
      .csrf(csrf -> csrf.disable())
      .sessionManagement(sm ->
          sm.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
      .formLogin(form -> form.disable())
      .httpBasic(basic -> basic.disable())

      // 인가 규칙: 위에서 아래로, 먼저 맞는 규칙이 적용된다
      .authorizeHttpRequests(auth -> auth
          .requestMatchers("/api/auth/**").permitAll()   // 로그인은 누구나
          .requestMatchers(HttpMethod.GET, "/api/public/**").permitAll()
          .anyRequest().authenticated()                  // 나머지는 인증 필요
      )

      // 표준 인증 필터 앞에 JWT 필터를 끼워 넣는다
      .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);

    return http.build();
  }
}

@Bean
public PasswordEncoder passwordEncoder() {
  return new BCryptPasswordEncoder();   // 솔트 포함, 일방향 해시
}

// 저장할 때
String hash = passwordEncoder.encode(rawPassword);

// 로그인 검증할 때 (해시끼리가 아니라 matches 로 비교)
boolean ok = passwordEncoder.matches(rawPassword, hash);

@Configuration
// 기본은 prePostEnabled=true (@PreAuthorize/@PostAuthorize 만 켜짐).
// @Secured, @RolesAllowed 를 쓰려면 옵션을 명시적으로 켜야 한다.
@EnableMethodSecurity(securedEnabled = true, jsr250Enabled = true)
public class MethodSecurityConfig {}

@Service
public class PostService {

  @PreAuthorize("hasRole('ADMIN')")          // 호출 전 권한 검사
  public void deleteAll() { ... }

  @PreAuthorize("#userId == authentication.name")  // 본인만
  public void updateProfile(String userId) { ... }

  @PostAuthorize("returnObject.owner == authentication.name")  // 반환 후 검사
  public Post getMine(Long id) { ... }

  @Secured("ROLE_ADMIN")        // 단순 역할 확인 (예전부터 있던 방식)
  public void purge() { ... }

  @RolesAllowed("ADMIN")        // Jakarta 표준 역할 확인
  public void archive() { ... }
}