fix: EgovLoginFailHandler 가 로그인 실패 URL 대신 접근거부 URL 로 보내는 문제 수정

[wantaekchoi]

수정 사유 Reason for modification

• 버그수정 Bug fixes
• 기능개선 Enhancements
• 기능추가 Adding features
• 기타 Others

수정된 소스 내용 Modified source

EgovLoginFailHandler가 로그인 실패 URL 대신 접근거부 URL로 보냅니다.

클래스 이름도, 기본값 상수 이름도 로그인 실패를 가리킵니다.

// EgovLoginFailHandler.java:38
private static final String DEFAULT_LOGIN_FAILURE_URL = "/index.html";

그런데 설정에서 읽는 값은 접근거부 URL입니다.

// EgovLoginFailHandler.java:53-62
if (ObjectUtils.isEmpty(config)) {
    throw new NoSuchBeanDefinitionException("### EgovLoginFailHandler getAccessDeniedUrl not found.");
}

String failureUrl;
if (StringUtils.hasText(config.getAccessDeniedUrl())) {
    failureUrl = config.getAccessDeniedUrl();
} else {
    failureUrl = DEFAULT_LOGIN_FAILURE_URL;
}

EgovSecurityConfig에는 로그인 실패용 항목이 따로 있고, 필터체인의 formLogin도 그 값을 씁니다.

// EgovSecurityConfig.java:56-57, :182-184
@JsonProperty("loginFailureUrl")
private String loginFailureUrl;

public String getLoginFailureUrl() {
    return loginFailureUrl;
}

// EgovSecurityConfiguration.java:442
.failureUrl(securityConfig.getLoginFailureUrl())

쌍둥이인 EgovAccessDeniedHandler도 같은 자리에서 getAccessDeniedUrl()을 읽습니다. 접근거부 핸들러니 그쪽은 맞는 값이고, 두 핸들러가 결과적으로 같은 프로퍼티 하나를 읽습니다.

두 URL을 다르게 두고 로그인 실패를 일으키면 접근거부 화면으로 갑니다.

[ERROR] EgovLoginFailHandlerTest.onAuthenticationFailure_usesLoginFailureUrl:27
        expected: </uat/uia/loginFail.do> but was: </system/accessDenied.do>
[ERROR] EgovLoginFailHandlerTest.onAuthenticationFailure_fallsBackToDefaultUrl_whenLoginFailureUrlBlank:41
        expected: </index.html> but was: </system/accessDenied.do>
[ERROR] Tests run: 2, Failures: 2, Errors: 0, Skipped: 0

두 번째 단언에서 보듯 로그인 실패 URL을 비워도 DEFAULT_LOGIN_FAILURE_URL 폴백에 닿지 못합니다. 접근거부 URL이 설정돼 있으면 그쪽이 먼저 걸리기 때문입니다.

AS-IS / TO-BE

     if (ObjectUtils.isEmpty(config)) {
-        throw new NoSuchBeanDefinitionException("### EgovLoginFailHandler getAccessDeniedUrl not found.");
+        throw new NoSuchBeanDefinitionException("### EgovLoginFailHandler getLoginFailureUrl not found.");
     }
 
     String failureUrl;
-    if (StringUtils.hasText(config.getAccessDeniedUrl())) {
-        failureUrl = config.getAccessDeniedUrl();
+    if (StringUtils.hasText(config.getLoginFailureUrl())) {
+        failureUrl = config.getLoginFailureUrl();
     } else {
         failureUrl = DEFAULT_LOGIN_FAILURE_URL;
     }

영향 범위

이 핸들러가 forward하는 경로 하나입니다. 설정이 비어 있을 때 DEFAULT_LOGIN_FAILURE_URL로 떨어지는 폴백과 계정 열거 방지 메시지 처리는 그대로입니다.

EgovSecurityConfiguration은 이 클래스를 @Bean으로 노출합니다(:347). 자동 배선되는 자리가 없어, 값이 달라지는 쪽은 이 빈을 직접 주입해 쓰는 코드입니다.

JUnit 테스트 JUnit tests

• JUnit 테스트 JUnit tests
• 수동 테스트 Manual testing

EgovAccessDeniedHandlerTest와 같은 형태로 EgovLoginFailHandlerTest를 추가했습니다. 두 URL을 다르게 설정하고 어느 쪽으로 forward하는지, 로그인 실패 URL이 비었을 때 기본값으로 떨어지는지 봅니다.

$ mvn -pl Foundation/org.egovframe.rte.fdl.security test
[INFO] Tests run: 38, Failures: 0, Errors: 0, Skipped: 0
[INFO] BUILD SUCCESS

읽는 프로퍼티를 되돌리면 위 RED가 다시 나옵니다.

테스트 브라우저 Test Browser

• Chrome
• Firefox
• Edge
• Safari
• Opera
• Internet Explorer
• 기타 Others

테스트 스크린샷 또는 캡처 영상 Test screenshots or captured video

화면이 없는 실행환경 모듈이라 첨부하지 않았습니다.