🚀 선택 - RoleHierarchy 리뷰 요청 드립니다. #20

parkjun5 · 2025-02-13T11:02:10Z

안녕하세요.
선택 - RoleHierarchy 미션 리뷰 요청합니다.

이번 미션은 시큐리티에서 명시적으로 개발되어있던 부분이 많아 빠르게 개발하였습니다!

그런데 Spring Security 코드 전반에서는 Authority를 주로 사용하는데,
RoleHierarchy에서 특별히 Role이라는 용어를 사용하는 이유가 궁금하네요.

예를 들어:

UserDetails.getAuthorities()
Authentication.getAuthorities()
에서는 Authority를 사용하지만
RoleHierarchy.getReachableRoles()
에서는 Role을 사용하네요.

이렇게 Role이라는 용어를 사용하는 이유는 역할로 비교한다고 명시적으로 보여주기 위해서 일까요??

리뷰 잘 부탁 드립니다.

- 임시로 RoleHierarchy 구조 커밋

- 사용자 Role의 이름을 저장하고 비교할 수 있는 인가 객체 생성

…ity>로 변경 - Authentication 객체가 권한을 String이 아닌 GrantedAuthority 객체로 관리하도록 개선

- ADMIN > MEMBER

- MEMBER 롤은 기본 롤으로 ADMIN 을 가지면 MEMBER 롤도 인가한다.

- Update README with optional mission requirements

jinyoungchoi95

안녕하세요 세준님 😄

선택미션도 잘 구현해주셨네요. 몇가지 코멘트 남겨두었으니 확인부탁드려요 :)

궁금하거나 고민이 되는 부분이 있으시다면 언제든 pr 코멘트 또는 dm으로 요청 부탁드립니다.
감사합니다 🙇‍♂️

jinyoungchoi95 · 2025-02-14T13:04:04Z

src/main/java/nextstep/security/role/RoleHierarchy.java

+import java.util.Collection;
+
+public interface RoleHierarchy {
+    Collection<GrantedAuthority> getReachableRoles(Collection<GrantedAuthority> authorities);


그런데 Spring Security 코드 전반에서는 Authority를 주로 사용하는데,
RoleHierarchy에서 특별히 Role이라는 용어를 사용하는 이유가 궁금하네요.
이렇게 Role이라는 용어를 사용하는 이유는 역할로 비교한다고 명시적으로 보여주기 위해서 일까요??

혹시 어디 코드에서 RoleHierarchy.getReachableRoles로 되어있을까요? 실제 스프링 시큐리티 코드에서도 말씀해주신대로 authority라는 표현을 사용하고 있어요.

Collection<? extends GrantedAuthority> getReachableGrantedAuthorities( Collection<? extends GrantedAuthority> authorities);

https://github.com/spring-projects/spring-security/blob/main/core/src/main/java/org/springframework/security/access/hierarchicalroles/RoleHierarchy.java

제가 잘못 질문을 드렸네요. 죄송합니다.
getReachableRoles는 미션 코드에 부분이였네요. 😅

그래도 Role 이름은 시큐리티의 RoleHierarchy의 구현체 코드에도 종종 사용되는 것 같아요
예를 들어서 getReachableGrantedAuthorities 의 구현 메서드 중

Set<GrantedAuthority> lowerRoles = this.rolesReachableInOneOrMoreStepsMap.get(authority.getAuthority()); if (lowerRoles == null) { continue; // No hierarchy for the role } for (GrantedAuthority role : lowerRoles) { if (processedNames.add(role.getAuthority())) { reachableRoles.add(role); } }

위 부분들 보면 Authority 와 Role을 같이 사용하는 듯해서 RolePrefix와 관련있는건가? 했습니다 ㅎㅎ

https://github.com/spring-projects/spring-security/blob/main/core/src/main/java/org/springframework/security/access/hierarchicalroles/RoleHierarchyImpl.java

네 spring security에서는 인가처리 권한(Authority)가 있지만, 그 권한을 역할별로 계층으로 분리하려했고 그렇게 나온 것이 RoleHierarchy라고 보시면 될 것 같아요.

두 정보가 동일할 수는 있는데 쓰임새 자체가 권한, 권한별 역할로 한번 더 쪼개진다고 보시면 될 것 같습니다.

https://docs.spring.io/spring-security/reference/servlet/authorization/architecture.html?utm_source=chatgpt.com#authz-hierarchical-roles

jinyoungchoi95 · 2025-02-14T13:57:09Z

src/main/java/nextstep/app/SecurityConfig.java

+    public RoleHierarchy roleHierarchy() {
+        return RoleHierarchyImpl.builder()
+                .role("ADMIN").addImplies("MEMBER")
+                .build();


잘 추가해주셨네요 👍

jinyoungchoi95 · 2025-02-14T14:03:49Z

src/main/java/nextstep/security/role/NullRoleHierarchy.java

+public class NullRoleHierarchy implements RoleHierarchy {
+    @Override
+    public Collection<GrantedAuthority> getReachableRoles(Collection<GrantedAuthority> authorities) {
+        return Collections.emptyList();
+    }


RoleHierarchy의 영문명 그대로 이 인터페이스의 역할은 "역할 계층"을 만들어주는 것이에요. 그래서 구현체들도 역할 계층을 만들어주는 것으로 구성이 되어야하는데요.

NullRoleHierarchy이라는 것은 null이라는 말이 표현되어있기는하지만 직역하면 "역할 계층이 없다"입니다. 계층이 없다는 것이지 authority가 없다는 뜻은 아니기 때문에 empty를 반환하기보다는 인입된 파라메터를 그대로 반환해주는 것이 그 목적이라고 볼 수 있어요.

아하 저도 NULL을 왜 쓰지 라는 의문이 있었는데 , 빈 권한을 주는 것이 아니라 말 그대로 RoleHierarchy 가 없다라는 의미군요!

jinyoungchoi95 · 2025-02-14T14:05:53Z

src/main/java/nextstep/security/role/RoleHierarchyImpl.java

+    Map<String, Set<GrantedAuthority>> roleHierarchy;
+
+    private static final List<GrantedAuthority> EMPTY_AUTHORITIES = Collections.emptyList();


Suggested change

Map<String, Set<GrantedAuthority>> roleHierarchy;

private static final List<GrantedAuthority> EMPTY_AUTHORITIES = Collections.emptyList();

private static final List<GrantedAuthority> EMPTY_AUTHORITIES = Collections.emptyList();

private final Map<String, Set<GrantedAuthority>> roleHierarchy;

상수는 자바 컨벤션상 가장 위에 있어야하고, roleHierarchy는 접근제어가 필요해보이네요 :)

수정하겠습니다!

jinyoungchoi95 · 2025-02-14T14:17:24Z

src/main/java/nextstep/security/role/RoleHierarchyImpl.java

+
+import java.util.*;
+
+public class RoleHierarchyImpl implements RoleHierarchy {


RoleHierarchyImpl에 대한 테스트도 추가해보면 어떨까요? 기능이 복잡한 객체이니 이를 문서화한다는 느낌으로 테스트를 짜보셔도 좋은 경험이 될 것 같아요 :)

- 역할 계층을 Authority 로 가져올 수 있다 - 새로운 역할 계층을 추가할 수 있다. - 역할의 이름은 비어있을수 없다. - 포함된 역할들도 비어있을 수 없다.

jinyoungchoi95

안녕하세요 세준님 😄

피드백 잘 반영해주셨네요. 몇가지 알고 넘어가면 좋은 내용 코멘트 남겨두었습니다.
Authorization 미션에 필요한 학습을 모두 잘 진행해주신 것 같아 머지하겠습니다.

감사합니다 🙇‍♂️

jinyoungchoi95 · 2025-02-15T17:25:20Z