스프링 시큐리티 트러블슈팅 — 흔한 버그와 해결법

// REST API 서버라면 CSRF 비활성화 (세션 대신 토큰 인증 사용 시)
http.csrf(csrf -> csrf.disable());

// 폼 기반이라면 CSRF 토큰을 포함
// Thymeleaf: 자동 포함됨
// 수동: <input type="hidden" name="_csrf" th:value="${_csrf.token}"/>

http.cors(cors -> cors.configurationSource(request -> {
    CorsConfiguration config = new CorsConfiguration();
    config.setAllowedOrigins(List.of("http://localhost:3000"));
    config.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE"));
    config.setAllowedHeaders(List.of("*"));
    config.setAllowCredentials(true);
    return config;
}));

// ❌ @Component 제거
// @Component  ← 이거 빼기
public class JwtFilter extends OncePerRequestFilter { ... }

// ✅ 시큐리티 설정에서만 등록
http.addFilterBefore(new JwtFilter(jwtProvider),
    UsernamePasswordAuthenticationFilter.class);

// 방법 1: DB에 ROLE_ 접두사 포함해서 저장
authorities = List.of(new SimpleGrantedAuthority("ROLE_ADMIN"));

// 방법 2: hasAuthority() 사용 (접두사 안 붙음)
http.authorizeHttpRequests(auth -> auth
    .requestMatchers("/admin/**").hasAuthority("ADMIN")
);

// 방법 1: @WithMockUser
@Test
@WithMockUser(username = "user", roles = {"USER"})
void 인증된_사용자_테스트() { ... }

// 방법 2: MockMvc에 인증 정보 추가
mockMvc.perform(get("/api/profile")
    .with(SecurityMockMvcRequestPostProcessors.user("user")))
    .andExpect(status().isOk());

// 방법 3: 시큐리티 비활성화 (비추천 — 보안 테스트를 포기하는 것)
@WebMvcTest(excludeAutoConfiguration = SecurityAutoConfiguration.class)

# application.yml
logging:
  level:
    org.springframework.security: DEBUG

DEBUG FilterChainProxy - Securing POST /api/orders
DEBUG CsrfFilter - Invalid CSRF token found for POST /api/orders
DEBUG FilterChainProxy - REJECTED