[Spring Security] Filter 에서 발생한 예외 핸들링하기

Spring Security에서 JWT를 사용한 인증에서 발생할 수 있는 ExpiredJwtException, JwtException, IllegalArgumentException과 같이 Filter에서 발생하는 Exception을 핸들링하는 방식에 대해 알아보겠습니다.

 

@ControllerAdvice로는 안되는 이유

일반적으로 Spring에서는 아래와 같이 @ControllerAdvice 어노테이션을 붙인 클래스 내부에 @ExceptionHandler을 붙인 핸들링 메서드를 여러개 추가하는 방식으로 전역범위의 Exception을 핸들링 할 수 있습니다.

@ControllerAdvice
public class GlobalExceptionHandler {
    
    @ExceptionHandler(Exception.class)
    public ResponseEntity<ErrorResponse> handleException(
            Exception e
    ){
        return new ResponseEntity<>(
                new ErrorResponse(
                        ErrorCode.INTERNAL_ERROR.getCode(),
                        e.getMessage()
                ),
                ErrorCode.INTERNAL_ERROR.getHttpStatus()
        );
    }

    private ResponseEntity<ErrorResponse> makeErrorResponse(
            ErrorCode errorCode
    ){
        return new ResponseEntity<>(
                new ErrorResponse(errorCode.getCode(), errorCode.getMessage()),
                errorCode.getHttpStatus()
        );
    }
    @Data
    private static class ErrorResponse{
        private final Integer code;
        private final String message;
    }
}

그러나 @ControllerAdvice는 기본적으로 모든 Controller에게 적용되는 Advice이므로 Filter단에서 발생한 예외를 핸들링 해주지 못합니다. 

출처 : https://sjh836.tistory.com/165

Spring Security의 구조를 확인해보면 Filter에서 발생한 예외는 @ControllerAdvice의 적용범위 밖이란 점을 확인할 수 있습니다.

 

예외를 핸들링하는 Filter를 추가하기

그러므로 Filter에서 발생하는 예외를 핸들링하려면, 예외 발생이 예상되는 Filter의 상위에 예외를 핸들링하는 Filter를 만들어서 Filter Chain에 추가해주면 됩니다.

public class ExceptionHandlerFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(
            HttpServletRequest request,
            HttpServletResponse response,
            FilterChain filterChain
    ) throws ServletException, IOException {

        try{
            filterChain.doFilter(request, response);
        }catch (ExpiredJwtException e){
            //토큰의 유효기간 만료
            setErrorResponse(response, ErrorCode.TOKEN_EXPIRED);
        }catch (JwtException | IllegalArgumentException e){
            //유효하지 않은 토큰
            setErrorResponse(response, ErrorCode.INVALID_TOKEN);
        }
    }
    private void setErrorResponse(
            HttpServletResponse response,
            ErrorCode errorCode
    ){
        ObjectMapper objectMapper = new ObjectMapper();
        response.setStatus(errorCode.getHttpStatus().value());
        response.setContentType(MediaType.APPLICATION_JSON_VALUE);
        ErrorResponse errorResponse = new ErrorResponse(errorCode.getCode(), errorCode.getMessage());
        try{
            response.getWriter().write(objectMapper.writeValueAsString(errorResponse));
        }catch (IOException e){
            e.printStackTrace();
        }
    }

    @Data
    public static class ErrorResponse{
        private final Integer code;
        private final String message;
    }
}

※ ErrorCode 클래스는 별도로 정의한 Enumeration입니다.

ExpiredJwtException, JwtException, IllegalArgumentException 중 하나의 예외가 발생했을 경우 에러 코드와 메시지를 세팅한 Response를 응답하는 예시입니다.

 

이렇게 만든 Filter를 Spring Security Configuration에서 추가해주면 끝입니다.

@Configuration
@EnableWebSecurity
public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
		...
        
        http.addFilterBefore(
            new ExceptionHandlerFilter(),
            UsernamePasswordAuthenticationFilter.class
        );
        
        ...
    }
}