소설같은JSP1부  4장 Core of Servlet  18 인증페이지 만들기  

 

18 HttpServletResponse–인증페이지 만들기

 

 보통 웹 서버 프로그래밍에서 로그인등을 위한 인증 페이지를 만들 때에는 HTML 양식을 많이 이용합니다. 폼 양식을 통해서 여러 가지 유효한 정보들을 효과적으로 받아들일 수 있기 때문이죠. 그렇지만 여러분은 웹서핑을 하며 어느 사이트에 들어가려 할 때 로그인을 위한 인증 페이지가 웹브라우저와는 다른 별개의 창에 떠서 아이디와 패스워드를 요구하는 경우를 한번씩은 경험하셨을 것입니다. 이런 경우는 서버측에서 Http를 기반으로 해서 만든 것들입니다. 여기서는 이렇게 간단한 인증을 할 때 유용하게 쓰일 수 있는 Http를 기반으로 하는 기본인증(basic Authorization)을 서블릿에서 이용하는 방법에 대해 알아보겠습니다.

 

 그럼 먼저 서블릿에서 기본인증(basic Authorization)을 이용하는 절차에 대해 살펴보겠습니다. 이 절차를 잘 이해하셔야만, 이에 관한 프로그래밍 및 분석을 할 수 있으며, 여러 부분에 걸쳐 관련된 부분이니 잘 살펴보시기 바랍니다.

 

n        Http 헤더를 검사해 Authorization헤더의 존재여부 검사

 

인증의 정보를 담고 있는 Authorization헤더의 존재여부를 우선 검사합니다.

 

n        헤더가 존재할 경우 “basic”이란 단어를 뺀 나머지 부분을 base64로 디코딩.

 

인증방식을 나타내는 “basic(기본)”이란 단어 뒷부분부터가 실제적인 사용자의 정보가 되는 것입니다. 그리고 여기서 말하는 base64는 간단한 암호화 알고리즘이라는 정도로 알아두시기 바랍니다.Sun에서는 이렇게 base64로 인코딩 된 문자열을  디코딩해주기 위한 sun.misc.BASE64클래스를 제공합니다.

 

n        디코딩한 후 생긴 “user:password”형태의 문자열로 사용자 인증

 

base64로 디코딩한 후 나오는 사용자정보(인증을 위해 입력한 정보)를 디비등에 입력된 실제 정보와 비교하여 일치하면 원하는 페이지에 들어가게 되고 그렇지 않을 경우 다음의 과정을 거칩니다.

 

n        Authorization헤더가 존재하지 않거나 인증에 실패할 경우 401상태코드와 헤더를 돌려줌

 

Authorization헤더가 존재하지 않거나 입력된 사용자 정보가 잘못 되어서 인증에 실패한 경우에는 사용자 ID와  Password를 묻는 창이 떠야 하는데 그것을 해주는 것이 401상태코드(Unauthorized)와 www-Authentificate: BASIC realm=“name”형태의 헤더입니다.

 

상태코드는 Http응답의 맨 윗줄에 정수와 간단한 메시지로 구성되는 것으로, 각 정수의 번호에 따라서 클라이언트에게 정보를 제공하거나, 처리의 상태, 파일의 이동, 오류상태등을 나타내는 역할을 합니다. 여기서 401(SC_UNAUTHORIZED)는 클라이언트가 Authorization헤더에 잘못된 정보를 넣고 특정한 페이지에 접근하려 했음을 의미하는 것입니다.

 

그리고, www-Authentificate헤더는 401상태코드 설정시 반드시 응답으로 포함시켜야 하는 것으로, Authorization 요청헤더에 포함시킬 인증형식 및 영역을 브라우저에게 알려줍니다. 위에서 보자면, 인증형식은 BASIC이고, 영역은 name인 아이디와 패스워드를 입력할 대화상자를 띄우는 역할을 합니다.

 

n        두번째 과정부터 반복 실행

 

아이디와 패스워드를 입력한 후 그것을 다시 base64로 인코딩하고, Authorization헤더에 담아서 요청을 보냅니다.

 

 다음의 예제는 위의 인증의 절차를 실제로 구현하여, 아이디와 패스워드를 검사하여 올바르게 입력되었을때에만 원하는 페이지에 접근할 수 있게 하는 인증 서블릿입니다.

 

PassCheck..java

사용자 인증을 위한 서블릿

package chap4;
import java.io.*;
import javax.servlet.*;
import javax.servlet.http.*;
import sun.misc.BASE64Decoder;

public class PassCheck extends HttpServlet {
  public void init(ServletConfig config) throws ServletException {
    super.init(config);
  }
  public void doGet(HttpServletRequest request,HttpServletResponse response)
    throws ServletException, IOException {
    response.setContentType("text/html;charset=euc-kr");
    PrintWriter out = response.getWriter();
    String authorization = request.getHeader("Authorization");
    if (authorization == null) {
      response.setStatus(response.SC_UNAUTHORIZED);
      response.setHeader("WWW-Authenticate", "BASIC realm=\"novel JSP-Servlet\"");
    }else{
      String userInfo = authorization.substring(6).trim();
      BASE64Decoder decoder = new BASE64Decoder();
      String info = new String(decoder.decodeBuffer(userInfo));
      int index = info.indexOf(":");
      String user = info.substring(0, index);
      String password = info.substring(index+1);
      String realUser = "Admin";
      String realPassword = "1234";
      if (realUser.equals(user) && realPassword.equals(password)) {
        out.println("<HTML><BODY>");
        out.println("<H3>인증성공</H3>");
        out.println("<H2>Novel-Servlet에 오신것을 환영합니다.</H2>");
        out.println("</BODY></HTML>");
      }else{
        response.setStatus(response.SC_UNAUTHORIZED);
        response.setHeader("WWW-Authenticate", "BASIC realm=\"novel JSP-Servlet\"");
      }
    }
  } 
}

 

 예제를 분석해 보겠습니다. 먼저 base64를 디코딩하기위해 BASE64클래스를 임포트하고 있습니다.

 

n        import sun.misc.BASE64Decoder;

 

 여기서 여러분이 한가지 알아두셔야 할 점은 sun패키지에 관한 설명은 여러분이 보시는 Java API Doc문서에서는 그 설명을 찾으실 수 없다는 것입니다. 비록 이 패키지는 JDK1.1이후 버전에 모두 포함되어 있지만 Sun에서 공식적으로 쓰이도록 명시하지 않기에 그러리라 봅니다.

 

 다음으로 헤더에서 Authorization을 받아서 그 null값이면, 응답으로 그 상태를 설정하고, 헤더를 설정하여 인증을 위한 창을 띄웁니다. 결과를 보시면 여기서 설정한 realm이 영역으로 표시되었음을 확인할 수 있습니다.

 

n        String authorization = request.getHeader("Authorization");

n            if (authorization == null) {

n              response.setStatus(response.SC_UNAUTHORIZED);

n              response.setHeader("WWW-Authenticate", "BASIC realm=\"novel JSP-Servlet\"");

n            }

 

 Authorization헤더에 값이 있으면 그 값을 받어서 BASE64Decoder를 사용하여 디코딩합니다. 위에서 설명했듯 앞에 붙은 basic이란 말은 빼기 위하여 substring을 이용하여 여섯번째 글자부터 읽어서 스트링으로 저장해 놓습니다.

 

n        String userInfo = authorization.substring(6).trim();

n        BASE64Decoder decoder = new BASE64Decoder();

n        String info = new String(decoder.decodeBuffer(userInfo));

 디코딩하여 나온 결과가 “id:password”로 이루어져있기때문에 id와 password를 구분하여 사용하기 위해서 “:”을 index로 하여 앞과 뒤로 substring해서 각각 저장합니다.

 

n        int index = info.indexOf(":");

n        String user = info.substring(0, index);

n        String password = info.substring(index+1);

 

 비교할 아이디와 패스워드를 코드 내에 써 놓았습니다. 실제로 한다면 데이터베이스나 다른 다른 파일등에서 불러와야 하겠지만 간략한 설명을 위해서 여기서는 바로 보이게 해 놓았습니다.  이것과 사용자가 입력한 인증정보와 비교하여 맞으면 원하는 페이지에 접근 가능하고 틀리면 다시 헤더를 설정하는 부분으로 가게 되는 것입니다.

 

n        String realUser = "Admin";

n        String realPassword = "1234";

n        if (realUser.equals(user) && realPassword.equals(password)) {

 

 이렇게 Http의 헤더를 이용해서 서블릿 인증 페이지를 만들어 보았습니다. Http 의 상태와 헤더를 설정함으로써 인증페이지를 서블릿에서 사용하는 방법을 알아본 것입니다. 그럼 Http의 상태에 대해서 좀더 알아보고 넘어가겠습니다. Http의 상태를 설정함으로서 보다 폭넓은 프로그래밍을 할 수 있고, 상태코드를 분석 함으로서 어떠한 곳에서 에러가 났는지, 어떻게 결과가 처리되었는지 되었는지 유추가 되기 때문에 알고 가시면 유용할 것입니다.

 

상태코드의 종류와 그 의미

 

100~199   100번태 코드들은 클라이언트가 다음에 행동할 정보를 제공합니다.

100(continue) : 클라이언트에서 첨부문서(attatched document)를 보내기 전에 요청을 보낼때  Expect헤더에 설정해서 보냅니다.

101(switching protocol) : 서버가 Upgrade헤더에 응답할수 있고, 다른 프로토콜로 전환 한다는 것을 나타냅니다.

200~299   요청 받은 것이 성공적으로 처리되었음을 나타냅니다.

200(OK) : 모든 것이 제대로 처리되었다는 것을 나타냅니다.

201(Created) : 클라이언트의 요청에 대해서 서버가 새로운 문서를 생성하였다는 것을 나타냅니다.

202(Accepted) : 클라이언트이 요청을 받아들이기만 했을 뿐 아직 완료되지 않은 상태를 나타냅니다.

204(No Content) : 새로운 문서가 없어서 브라우저에게 이전 문서를 계속 표시하라고 알려주는 것입니다.

205(Reset Content) : 새로운 문서가 없더라도 브라우저에서 창을 초기화하고, 문서를 새로 표시한다는 것입니다.

300~399   파일들이 이동되었을 때 쓰이며, 이동하는 위치를 나타내는 Location 헤더가 응답에 포함됩니다.

300(Multiple Choice) : 요청된 문서가 여러곳에 있을때 어떤 문서를 원하는지를 묻는 것입니다.

301(Moved Permanently) : 요청된 문서의 위치가 영구적으로 변했음을 나타내는 것입니다.

302(Found) : 요청된 문서의 위치가 임시적이라는 것을 나타냅니다.

304(Not Modified) : 브라우저의 캐시에 들어있는 문서가 최신 문서이니 그것을 그대로 사용하라는것을 나타냅니다.

305(Use Proxy) : 요청된 문서를 프록시를 통해서 전송 받으라는 것을 나타냅니다.

400~499   클라이언트 때문에 나타난 오류를 의미합니다.

401(Bad Request) : 클라이언트에서 잘못된 구문으로 요청하였음을 나타냅니다.

402(Unauthorized) : 클라이언트가 잘못된 인증정보를 Authorization 헤더에 넣었음을 나타냅니다.

403(Forbidden) : 클라이언트의 인증정보에 상관없이 페이지에 대한 접근을 거부한다는 것을 나타냅니다.

404(Not Found) : 클라이언트가 요청한 자원에 서버에 없다는 것을 나타냅니다.

408(Request Timeout) : 클라이언트의 요청을 기다릴 수 있는 제한시간이 지났다는 것을 나타냅니다.

410(Conflict) : 요청된 문서가 사라지고, 새로운 주소는 알 수 없다는 것을 나타냅니다.

413(Request Entity Too Large) : 요청된 문서가 서버가 다룰 수 있는 문서의 크기보다 큼을 나타냅니다.

415(Unsupported Media Type) : 요청에 첨부된 문서가 서버가 처리할 수 없는 문서임을 나타냅니다.

500~599   서버에 의한 오류를 나타냅니다. 

500(Internal Server Error) : 서버 내부에 문제가 있음을 나타냅니다.

501(Not Implemented) : 클라이언트의 요청을 처리하는데 필요한 기능을 서버가 지원하지 않음을 나타냅니다.

502(Bad Gateway) : 서버가 게이트웨이 역할을 할 때 원격서버로부터 잘못된 응답을 받았음을 나타냅니다.

503(Service Unavailable) : 서버의 사정으로 응답할 수 없음을 나타냅니다.



jabook저자명함
제목:소설같은JSP1부
저자:최영관