<aside> 💡 목차

</aside>

알아두기 - HTTP와 웹소켓의 인증과정에서의 차이점

HTTP 통신은 요청-응답 패러다임에 기반을 두고 있으며, 각 요청 후 연결이 종료됩니다. 따라서 매 요청 마다 새롭게 **AccessToken**을 검증해야 합니다. 이를 두고 Stateless 라고 합니다.

반면, 웹소켓은 최초 연결시에만 HTTP 요청을 사용하며, 연결이 맺어진 후에는 지속적인 데이터 교환을 제공하기에 추가적인 AccessToken 검증이 불필요해지게 됩니다. 이를 두고 Stateful이라고 하며, 웹소켓이 연결된 동안 인증과 관련된 정보를 **웹소켓 세션**에 유지 시켜 활용할 수 있게 됩니다.

Overview - 채팅 인증 절차

위 그림을 크게 두 가지 요청으로 나누어 설명드리겠습니다!

1. CONNECT 요청 - 연결 요청 가장 먼저 웹소켓 연결 요청의 경우 HTTP요청을 사용합니다! 이때 handshake 과정을 거치며 webSocket 연결로 변경을 시도하게됩니다! 기존의 HTTP 요청과 마찬가지로 헤더에 AccessToken을 검증하도록 설계가 가능합니다!

이때 **HandshakeInterceptor**를 사용하여 인증 처리를 구현하도록합니다! 검증 과정을 거치며 웹소켓 세션 내에 멤버 정보와 사용가능한 채팅방의 정보를 저장하도록 합니다. 이 정보는 웹소켓 연결 종료시까지 유지됩니다.

2. SEND 요청 - 메시지 전송 요청 연결 이후 부터 SEND 요청을 사용할 수 있습니다. 이때부터는 요청의 권한 검증을 위해 **웹소켓 세션**내에 있는 사용가능한 채팅방 정보와, 사용자가 보낸 **payload**의 채팅방 정보를 대조합니다.

이때는 ChannelInterceptor 를 사용하여 인가 처리를 구현합니다! 이후 문제가 없다면 해당 요청은 컨트롤러로 넘어가 처리됩니다.

해당 방법은 Stateful의 특성에 따라 제가 생각한 인증 구현 방법이며, 더 나은 의견이 있다면 언제든지 말씀해주시면 감사하겠습니다!

구현방법 - How to make

핸드 쉐이크 인터셉터 (HandshakeInterceptor)

초기 연결 시에는 **HandshakeInterceptor**를 사용하여 사용자 인증을 수행합니다.

import org.springframework.http.server.ServerHttpRequest;
import org.springframework.http.server.ServerHttpResponse;
import org.springframework.web.socket.WebSocketHandler;
import org.springframework.web.socket.server.HandshakeInterceptor;

import java.util.Map;

public class CustomHandshakeInterceptor implements HandshakeInterceptor {

    @Override
    public boolean beforeHandshake(ServerHttpRequest request, ServerHttpResponse response, 
                                   WebSocketHandler wsHandler, Map<String, Object> attributes) throws Exception {
        // 인증 로직 구현
        // 토큰 검증, 사용자 식별, 채팅방 정보 불러오기(서비스 -> DB 접근) 등
        return true; // 인증 성공 시 true 반환, 실패 시 false 반환
    }
}