🎫@AuthenticationPrincipal 과 @RequestHeader

@RequestHeader를 사용하라구요?

프로젝트 중 팀원분께서 튜터님에게 면담을 다녀오셨는데,
유저 정보를 가져올 때 @AuthenticationPrincipal말고 @RequestHeader를 사용하라고 얘기를 듣고 오셔서 공유를 해주셨다.

근데 왜 일까???🙃 궁금해졌다. 그래서 찾아 본 걸 적어보려고 함!

@AuthenticationPrincipal

@AuthenticationPrincipal은 Spring Security에서 제공하는 어노테이션
주로 Spring Security의 인증 정보(로그인된 사용자 정보)를 컨트롤러 메소드에 주입할 때 사용

@RestController
public class UserController {

    @GetMapping("/user/profile")
    public ResponseEntity<String> getProfile(@AuthenticationPrincipal UserDetails userDetails) {
        // UserDetails에는 현재 인증된 사용자의 정보가 포함됨
        String username = userDetails.getUsername();
        return ResponseEntity.ok("Hello, " + username);
    }
}

Spring Security의 인증 정보에서 현재 인증된 사용자의 정보를 자동으로 찾아서 해당 메소드의 파라미터로 주입
Spring Security의 Authentication 객체나 Principal 객체를 사용하여 로그인된 사용자의 정보를 추출

장점

인증된 사용자 정보를 직접 추출할 필요 없이 자동으로 주입받을 수 있음
Custom 로그인 객체를 직접 주입받을 수 있어 타입 안정성이 보장됨
Spring Security가 사용자 정보를 관리하여 보안적으로 안전하게 처리
인증 객체를 쉽게 모킹할 수 있어 단위 테스트가 용이함

단점

인증이 필요하지 않은 요청에서 사용할 경우 NullPointerException이 발생할 수 있음
Spring Security에 의존적이어서 보안 설정 변경 시 영향을 받을 수 있음
Spring Security와 연동되어야 하기 때문에 Spring Security가 인증을 담당하는 환경에서만 사용 가능

@RequestHeader

@RequestHeader는 HTTP 요청 헤더의 값을 메서드 파라미터에 바인딩하는 데 사용되는 Spring MVC 어노테이션
HTTP 요청의 헤더에 포함된 정보를 메소드 인자에서 바로 사용하려면 이 어노테이션을 사용함

@RestController
public class HeaderController {

    @GetMapping("/user")
    public ResponseEntity<String> getUser(@RequestHeader("Authorization") String authHeader) {
        // 요청 헤더에서 Authorization 값을 가져와 사용
        return ResponseEntity.ok("Authorization header: " + authHeader);
    }
}

RequestHeader는 HTTP 요청의 헤더에서 특정 값을 가져와서 해당 메소드의 파라미터로 주입
- Authorization 헤더, Content-Type, User-Agent 등의 헤더를 주입받을 수 있음

장점

다양한 헤더 정보 활용 가능
클라이언트의 정보나 요청 관련 메타데이터를 쉽게 얻을 수 있음
인증 여부와 관계없이 모든 요청에서 사용 가능
Spring Security와 관계없이 HTTP 헤더를 다룰 수 있어서 인증 시스템을 사용하는 경우뿐만 아니라 다양한 환경에서 사용 가능

단점

헤더 정보는 클라이언트에서 쉽게 조작할 수 있으므로, 중요한 정보를 처리할 때는 주의가 필요
많은 헤더를 개별적으로 주입받으면 코드가 복잡해질 수 있음
요청에 해당 헤더가 없으면 MissingRequestHeaderException 예외가 발생하여 추가적인 예외 처리 로직이 필요

정리를 해보면!

@AuthenticationPrincipal	@RequestHeader
인증된 사용자 정보	HTTP 헤더 정보
인증된 요청에서만 의미가 있음	모든 요청에서 사용 가능
서버의 보안 컨텍스트에서 데이터를 가져옴	클라이언트가 전송한 HTTP 헤더에서 데이터를 가져옴

@AuthenticationPrincipal

장점

단점

@RequestHeader

장점

단점

정리를 해보면!

티스토리툴바