Security : 람다식으로 CORS와 CSRF 깔끔하게 처리하기

AI 생성 이미지: Security : 람다식으로 CORS와 CSRF 깔끔하게 처리하기

안녕하세요, 개발하는 페럿입니다. 지난 글에서 `WebSecurityConfigurerAdapter`가 제거되고 `SecurityFilterChain` 빈 방식으로 전환된 것을 다뤘습니다.

하지만 설정을 진행하면서 CORS와 CSRF 관련 경고가 다시 나왔습니다. 이번 포스트에서는 Spring Security 6(=Spring Boot 3.x)가 권장하는 방식인 람다식 기반 설정으로 CORS와 CSRF를 어떻게 깔끔하게 처리하는지 단계별로 정리합니다.

1. 🤯 옛날 방식과 경고의 이유

Spring Boot 2.x 시절에는 http.csrf().disable() 같은 메소드 체이닝으로 보안 설정을 빠르게 작성했습니다. 그런데 Spring Security 6에서는 이러한 체이닝 API가 대체되거나 경고가 뜨기 시작했습니다.

// ❌ 2.x 방식: 곧 Deprecated 되거나 이미 경고가 뜰 수 있습니다.
http
    .csrf().disable() // 체이닝 방식
    .cors().disable(); // 체이닝 방식

그 이유는 Spring Security가 함수형, 즉 람다식(Customizer) 기반 구성을 권장하기 때문입니다. .csrf()나 .cors() 같은 설정 메서드가 이제는 람다를 인자로 받아 내부 옵션을 설정하도록 바뀌었습니다.

2. ✨ 최신 스타일: 람다식(Customizer)으로 설정하기

Spring Boot 3.x 환경에서는 HttpSecurity 객체에 대해 .csrf(...)나 .cors(...)를 호출할 때 람다 표현식을 사용해 각 기능을 명확히 정의하는 방식이 표준입니다. 이 패턴이 경고를 없애고 유지보수를 쉽게 해줍니다.

2-1. CSRF (Cross-Site Request Forgery) 설정

토큰 기반 인증을 쓰는 REST API에서는 CSRF를 비활성화하는 경우가 많습니다. 람다식으로 간단히 비활성화하거나, 기본값으로 둬서 활성화 상태를 유지할 수 있습니다.

설정 목표	Spring Boot 3.x (람다식)
CSRF 비활성화	http.csrf(csrf -> csrf.disable())
CSRF 활성화 (기본값)	http.csrf(Customizer.withDefaults())

2-2. CORS (Cross-Origin Resource Sharing) 설정

프론트와 API 서버가 분리되어 있을 때 CORS 설정은 필수입니다. 람다식으로 CORS를 끄거나, Customizer.withDefaults()로 활성화한 뒤 별도 Bean에서 규칙을 정의하는 흐름이 일반적입니다.

설정 목표	Spring Boot 3.x (람다식)
CORS 비활성화	http.cors(cors -> cors.disable())
CORS 활성화 (Custom Bean 사용)	http.cors(Customizer.withDefaults())

💡 여기서 잠깐!

Customizer.withDefaults()로 CORS를 활성화하면 Spring은 애플리케이션 컨텍스트에서 CorsConfigurationSource 타입의 Bean을 찾아 사용합니다. 허용 도메인이나 허용 메서드 같은 실제 규칙은 그 Bean에서 정의해야 합니다.

3. 🛡️ 최종 SecurityConfig 코드 (CSRF 비활성화 적용)

아래는 람다식 패턴을 적용해 CSRF를 비활성화하고 CORS는 기본값을 사용하는 예제입니다. SecurityFilterChain 빈을 반환하는 최신 방식으로 구성되어 있습니다.

// ✅ Spring Boot 3.x (Spring Security 6) 최신 설정
@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            // 💡 CSRF 비활성화는 람다식으로 처리!
            .csrf(csrf -> csrf.disable()) 
            
            // 💡 CORS는 기본 설정 사용 (별도 Bean을 통해 규칙 정의 예정)
            .cors(Customizer.withDefaults()) 
            
            .authorizeHttpRequests(authorize -> authorize
                .requestMatchers("/", "/public/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(Customizer.withDefaults()); // formLogin도 람다식/Customizer 사용

        return http.build();
    }
    
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

🚀 이 주제, 우리 서비스에 어떻게 적용할까요?

Security : 람다식으로 CORS와 CSRF 깔끔하게 처리하기를 실제 서비스와 조직에 녹여보고 싶다면, 현재 아키텍처와 운영 방식을 한 번 점검해 보는 것부터 시작해 보세요. 팀 위키나 기술 블로그, 사내 스터디 주제로도 아주 좋습니다.

이 글이 도움이 됐다면, 비슷한 엔터프라이즈 사례 글들도 함께 살펴보면서 우리 조직에 맞는 운영 상용구를 정의해 보세요.

AI 생성 이미지: Security : 람다식으로 CORS와 CSRF 깔끔하게 처리하기

4. 🚀 결론

Spring Security 6는 함수형(람다식) 구성을 권장합니다. 기존 체이닝 대신 람다식(Customizer)으로 CSRF와 CORS를 명확히 설정하면 경고를 피하고 설정 의도를 분명히 드러낼 수 있습니다. 이 글에서는 Security : 람다식으로 CORS와 CSRF 깔끔하게 처리하기 핵심을 정리했습니다.

🧠 개발 환경 최적화: 실용적인 장비 소개

보안 설정에 집중하려면 안정적인 개발 환경이 도움이 됩니다. 여기서는 실제로 사용해본 도구들을 중심으로 소개합니다. 간단한 장비 선택으로 작업 효율과 편안함을 개선할 수 있습니다.

이 포스팅은 쿠팡 파트너스 활동의 일환으로 일정액의 수수료를 제공받습니다.

다음 글에서는 실제로 CorsConfigurationSource Bean을 등록해 특정 도메인만 허용하는 실전 CORS 규칙을 구현하는 방법을 다룹니다. 읽어주셔서 감사합니다! Security : 람다식으로 CORS와 CSRF 깔끔하게 처리하기

함께 보면 좋은 엔터프라이즈 사례

• 모노레포 대형서비스 CI 최적화와 캐시전략 및 병렬빌드 분할 실전팁
• 대규모 K8s 멀티클러스터 운영 자동화와 관측 실전 가이드
• 실전에서 AI 기반 로그상관으로 장애원인 자동분석 및 재발방지추천