기록일자

24.9.11

문제상황

• 현재 회원가입한 사용자는 2가지 종류의 권한을 가진다.
  1. 회원여부: UserRole.USER
     • 회원가입시 자동으로 부여되는 권한이다. 로그인이 필요한 API에 접근하기 위한 권한
  2. 동아리 내 권한(3가지): ClubRole.PRESIDENT, ClubRole.MEMBER, 미지정 회원
     • 특정 동아리의 권한 신청 후 수락되는 경우 부여 받는 권한
     • 특정 회원이 여러 동아리에서, 여러 권한을 가질 수 있기 때문에, user_club_role 테이블에서 별도로 관리한다.
     • 예: A회원은 기타동아리 회장임과 동시에, 코딩동아리 회원일 수 있다.

현재 구현

• JWT 토큰으로, 로그인 여부를 먼저 security filter에서 검증하고, 추후에 api 호출시 service 메소드에서 해당 사용자가, 해당 동아리 내에서 어떤 권한을 가지고 있는지, user_club_role 테이블을 조회한다.
• 이때, user_club_role 테이블 조회를 위해, 사용자(User)와 현재 API를 요청한 동아리(Club)에 대한 정보가 필요하다.
  • User: Authentication에서 현재 로그인한 사용자의 정보(user_id)를 가져온다.
  • Club: api요청시 파라미터 혹은 request body에 요청하는 clubId 담아 요청한다.

//모든 API의 서비스 메소드에서, 사용자의 동아리내 권한을 확인하는 검증 로직(아래 코드)을 일일이 포함하고 있다.
//TODO: AOP를 활용하여 권한 검증 로직과 비즈니스 로직을 분리하기

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        CustomUserDetail userDetails = (CustomUserDetail) authentication.getPrincipal();

        User user = userRepository.findById(userDetails.getId())
                .orElseThrow(() -> new NoSuchElementException("User not found"));

        Club club = stepRepository.findById(stepId)
                .orElseThrow(() -> new NoSuchElementException("Step not found"))
                .getRecruitment().getClub();
				
				//User와 Club을 이용하여, 사용자의 동아리 내 권한을 조회한다.
        UserClubRole userClubRole = userClubRoleRepository.findByClubAndUser(club, user)
                .orElseThrow(() -> new NoSuchElementException("User is not in Club"));

문제 상황

1. 각 API 호출 시, 사용자의 동아리 내 역할(동아리장 또는 동아리원)을 검사해야 하는 로직이 서비스 메소드에 중복되어 작성되고 있음.
2. 또한, 해당 API의 주요 비즈니스 로직이 clubId가 필요하지 않은 상황에서도 사용자 검증을 위해 clubId를 함께 보내야 하는 상황이 발생.

문제 해결

• 목표
  • AOP를 활용하여, User와 Club을 이용한 권한 검증 로직을 서비스 메소드에서 분리
  • API 내부에서는 비즈니스 로직에만 집중하고, clubId와 권한 검증 로직은 자동으로 처리
• API가 호출되면, AOP가 자동으로 실행되어 clubId와 userId를 기반으로 사용자 권한을 검증

AOP 기초

Aspect Oriented Programming with Spring :: Spring Framework

0. AOP 사용