모바일 웹 애플리케이션 로드맵 새로운 버전 발표 (W3C)

 뉴딜코리아 홈페이지

■ 모바일 웹 애플리케이션 로드맵 새로운 버전 발표 (W3C)
(NEW VERSION OF THE ROADMAP OF WEB APPLICATIONS ON MOBILE)


▶ 2019년 1월 7일, W3C는 모바일 웹 애플리케이션 로드맵의 새로운 버전을 발표함

  - 로드맵의 내용은 2018년 7월 이후 웹 플랫폼의 변화를 반영하여 업데이트 되었으며, W3C에서 개발된 웹 응용 프로그램의 기능을 향상시키는 다양한 기술과 이를 모바일 환경에서 더욱 구체적으로 적용시킬 수 있는 방법을 요약하고 있음


▶ 특히, 네이티브와 갭을 줄이기 위해 웹 플랫폼 인큐베이터 커뮤니티 그룹(WICG, Web Platform Incubator Community Group)에서 최근 논의한 내용이 반영되어 있음


▶ 주요 업데이트 내용

 ○ 구분 : 시험 작업 (Exploratory work)
   - 미디어(Media)에서 자동재생 정책 언급
   - 애플리케이션 수명주기(Application Lifecycle)와 네트워크 및 통신 (Network and Communications)에서 백그라운드 패치(Background Fetch) 언급
   - 그래픽 및 레이아웃(Graphics and Layout)에서 CSS 페인팅 API 레벨 1 언급
   - 성능 및 튜닝(Performance and Tuning)에서 디스플레이 잠금 표시
   - 애플리케이션 수명주기(Application Lifecycle)에서 포털 언급
   - 사용자 상호작용(User Interaction)에서 WebHID 언급
   - 그래픽 및 레이아웃(Grophics and Layout)에서 스크롤 링크 애니메이션 언급

 ○ 구분 : 진행 중인 기술 (Technologies in progress)
   - WebXR Device API를 미디어(Media)에서 진행 중인 기술로 이동
   - 보안 및 개인 정보(Security and Privacy)에서 웹 인증 설명 업데이트

 ○ 구분 : 잘 적용된 기술 (Well-deployed technologies)
   - 포인터 이벤트를 사용자 상호 작용(User Interaction)의 잘 배치된 섹션 으로 이동


※ 사이트 : https://www.w3.org/blog/news/archives/7475

​


>> 웹 표준/ 접근성 진단 주요 솔루션 ……………………………………………………………………………….......................
.............................................................................................................................
…… CoolCheck!™ Privacy Monitoring System  ::::: 홈페이지 개인정보 노출점검 통합관제 시스템
…… CoolCheck!™ Enterprise                   ::::: 홈페이지 통합관제(품질진단/개인정보진단/접근성진단)
…… CoolCheck!™ Accessibility                ::::: 웹표준/접근성진단/자산관리
…… CoolCheck!™ Privacy                       ::::: 개인정보진단/기술적오류진단
…… CoolFilter!™                                  ::::: 홈페이지 게시판 개인정보 등록차단
…… CCD (CoolCheck!™ Desktop)             ::::: PC내 개인정보 관리/점검/암호화저장
...............................................................................................................................
문의 : 뉴딜코리아 솔루션사업부 (070-7867-3721, ismsbok@gmail.com) 

출 처 W3C
​

빅데이터 분석 컨텐츠 E-Book

 뉴딜코리아 홈페이지
 

빅데이터 분석 이란 무엇인가?

기초에서 사례까지 담은 빅데이터 분석 컨텐츠 북!

본 컨텐츠 E-Book에서는 빅데이터 분석 이란 무엇이며, 어떻게 가치를 만들어 내고 있는지에 대한 답을 찾을 수 있다.

또한 빅데이터 분석 기법으로는 무엇이 있는지 살펴 볼 수 있으며, 부록으로 실제 빅데이터 분석사례로 본 창의적 가설에 대해서도 알아 볼수 있다.

빅데이터를 통해 가치를 창출해내기 위한 명확한 트렌드는 없지만, 모든 기업들은 스스로를 평가하여 최대의 가치를 이끌어내는 것에 초점을 맞춰야만 한다.
.......

□ 빅데이터분석
1. 비즈니스 가치를 만드는 7가지 빅데이터 기법
2. 어떻게, 어디서, 그리고 왜 빅데이터 분석 가치를 만들어내고 있는가
3. 데이터 시각화 대시보드 만드는 Step 5

□ [부록] 빅데이터 분석 특집
1. 여자는 30대 초반, 50대 후반 평생 2번, 피부 주름 위기를 맞는다
2. 데이터 요약하는 것과 분석하는 것은 다르다
3. 데이터에서 꿈을 찾는 데이터 아티스트가 되라


빅데이터 분석 컨텐츠 E-Book 

핀테크 서비스(앱) 보안 취약점 점검·개선 지원사업 신청기업 모집

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2751

​

핀테크 서비스(앱) 보안 취약점 점검·개선 지원사업 신청기업 모집

​

KISA 핀테크 보안ㆍ인증기술 지원센터는 안전하고 혁신적인 핀테크 서비스 창출을 지원하기 위해 미래부와 함께 "핀테크 산업 활성화 기반 조성" 사업의 일환으로 <2017 핀테크 기업 지원 사업> 을 추진합니다.

 그 첫번째 지원 사업으로, 핀테크 기업의 서비스(앱)에 대한 보안성 강화 지원을 위해, 핀테크 서비스 보안 취약점 점검·개선 지원 컨설팅 사업에 대한 신청기업을 모집합니다.


  ㅇ 사업명 :  핀테크 서비스(앱) 보안 취약점 점검·개선 지원

  ㅇ 목적 : 핀테크 서비스 개발 과정부터 상용화까지 높은 수준의 보안성을 확보할 수 있도록 보안 취약점 분석 및 개선조치, 난독화 등을 지원

  ㅇ 신청 기간 : 2017. 1월 ~ (30개 서비스 신청 마감 시까지 접수)

  ㅇ 대상 : 핀테크 서비스 앱을 운영하는 모든 기업

  ㅇ 비용 : 전액 무료

  ㅇ 수행사 : (유)아홉, (주)코어스넷

  ㅇ 신청 방법 : 이메일(fintech@kisa.or.kr)로 신청서 제출

  ㅇ 문의처 : 이메일(fintech@kisa.or.kr) 및 전화(02-405-5247)
                뉴딜코리아 컨설팅 사업부 / 070-7867-3721 / ismsbok@gmail.com


[참고 1] '2017년 핀테크 기업 지원' 사업 개요
  [1] 보안성 강화 지원
    1-1. 핀테크 서비스 보안 취약점 점검·개선 지원        
    1-2. 핀테크 서비스 운영기반 보안 취약점 점검·개선 지원

  [2] 사업성 강화 지원
    2-1. 핀테크 API 개발 지원                     
    2-2. 핀테크 서비스 고도화 지원              
    2-3. 글로벌 핀테크 비즈니스 상담회 개최

  [3] 기반역량 강화
    3-2. 핀테크 아카데미
    3-2. 핀테크 세미나 및 네트워킹

 ※ 각 사업은 신청기업의 필요에 따라 선택적으로 신청하실 수 있으며, 사업별 신청기간은 첨부파일을 참고해주시기 바랍니다.


[참고 2] 핀테크 서비스 취약점 점검·개선 지원 프로세스

[참고 3] 서비스 제공 항목

□ 시큐어 코딩 및 보안 취약점 개선 지원  · 안전한 코딩 규칙 점검 및 준용 개발 가이드 지원
  · 금융앱 점검기준 및 OWASP Moblie TOP 10 등 항목에 대한 점검 및 조치 지원
  · 분석 결과에 대한 레포트 제공

□ 모바일 앱 난독화 등 보안조치 지원
  · 외부의 악의적인 조작 공격에 대하여 APP 자체에 난독화를 통한 보안 위협 대응 지원
  · 지원항목 : 문자열 암호화, 코드 난독화, 클래스 암호화, 메서드 콜 숨김, 리소스 암호화, 안티디버깅, 런타임 SO복호화 등

[첨부파일] 2017년핀테크 서비스 보안 취약점 점검개선 신청서

경기지역 중소기업 재직자 및 재학생 대상 정보보호 2차 전문교육 안내

 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2695

안녕하십니까
뉴딜코리아 컨설팅사업부 입니다

경기지역 중소기업 재직자 및 재학생 대상 정보보호 2차 전문교육 안내 드립니다

하시는 업무에 많은 도움이 되시기를 바랍니다 

감사합니다

□ 교육신청(한국정보보호교육센터)
https://www.kisec.com:40004/education_course/edu_attend?attend_type=short&course_name=%20웹%20취약점%20보안%20실무%20과정&start_date=20161207&end_date=20161208&open_seq=2&edu_course_no=125&edu_course_date_no=835

2017년 7대 사이버 공격 전망 보고서

 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2694

2017년 7대 사이버 공격 전망 보고서

- 산업전반으로 번지는 한국 맞춤형 공격
- 공용 소프트웨어를 통한 표적공격
- 다양한 형태의 랜섬웨어 대량 유포
- 사회기반시설 대상 사이버 테러 발생
- 대규모 악성코드 감염기법의 지능화
- 모바일 금융 서비스에 대한 위협 증가
- 좀비화된 사물 인터넷 기기의 무기화

161205-2017년_7대_사이버_공격_전망(발표자료).pdf

161205-2017년_7대_사이버_공격_전망(보고서).pdf

경기도 지역 기업재직자 정보보안 전문교육

 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2693

안녕하세요
뉴딜코리아 컨설팅 사업부 입니다

경기도가 지원하고 서울대 차세대융합기술연구원이 운영하는 융합보안지원센터에서
경기도 지역 내 보안분야 재직자 및 보안분야에 관심을 가지고 있는 재직자를 대상으로 향상교육을 진행합니다.

정보보안에 관심있는 많은 분들의 참여를 부탁드립니다.

□ 모임기간 12월 6일 (화) 9시 00분 ~ 12월 9일 (금) 21시 30분

□ 모임장소 [경기창조경제혁신센터] 경기 성남시 분당구 삼평동 융합보안지원센터

□ 교육내용 : 
   웹 앱 보안
   모바일 응용 보안 및 실습
   해킹과 악성코드
   IoT시대와 보안위협의 변화

□ 교육신청 : 
온오프믹스 - http://onoffmix.com/event/84994

토큰화 tokenization

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2487

토큰화

▣ 토큰화, -化, tokenization

모바일 결제 시스템에서, 신용카드와 같은 개인 정보를 보호하기 위해 관련 정보를 토큰으로 변환하여 사용하는 방식.

금융 보안 분야에서 개인 정보를 보호하기 위해 보호되어야 할 신용카드나 개인 정보를 토큰화 하여 결제 시 원본 데이터 대신 토큰 데이터를 사용한다.

토큰화 기술이 적용된 상점의 판매 시점 관리(POS) 결제 단말은 고객의 신용카드 정보 대신 정보를 변환한 토큰 데이터만 저장한다.

대신 토큰 서버(token server)가 신용카드 정보와 토큰 데이터를 저장하고 관리한다.

토큰화 기술은 토큰 데이터가 저장 장소나 전송 과정에서 유출되어도 원본 데이터가 아니기 때문에 도용될 가능성이 적다.

그러나 토큰의 생성 알고리즘이나 토큰 서버의 보안 강화가 요구된다.

토큰화 기술은 2014년 EMV 카드 표준으로 제정되었다(관련 표준: EMV Payment Tokenisation Specification).

서울시, 클릭만으로 서울전역 3D 지도 보는 시스템 실시

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2380

서울시, 클릭만으로 서울전역 3D 지도 보는 시스템 실시

     (자료: 뉴딜코리아 홈페이지)

앞으로 서울의 어느 지역이든 골목 하나, 건물 하나까지 실감나는 3D 입체 공간정보를 PC에서 클릭 한 번으로 볼 수 있다. 지하철역, 시청사 등 159개의 공공기관은 건물 내부구조까지 3D로 볼 수 있다.

서울시가 ‘3차원 공간정보 시스템(’의 서비스 범위를 기존 6개 구에서 시 전역으로 확대하고 전국 최초로 웹표준 방식을 적용하는 내용의 고도화 작업을 완료, 15일(금)부터 서비스 한다.

시는 ’10년부터 종로구, 서대문구, 강남구, 서초구, 중구, 용산구 등 6개 지역을 고품질 항공영상을 기반으로 한 Real 3D 형태로 구현해 지도 서비스를 실시해왔다. 이를 이번에 25개 구로 확대하는 것이다.

우선 시는 서비스 지역 확대를 위해 국토교통부(이하 국토부)의 3D 기본 데이터를 확보하고 여기에 시의 부동산 서비스, 테마관광 안내 등 서비스를 추가, 복합정보를 3D 공간상에 구현했다.

국토부의 공간정보 오픈플랫폼인 ‘브이월드’의 항공사진 등 기본 정보를 활용했다.

또 국제 웹표준인 HTML5와 WebGL 등 최신 웹기술을 적용했다. 그동안 서비스 이용을 위해서 Active-X, Plug-in 등의 프로그램을 반드시 추가로 설치해야 했다면 앞으로는 별도 설치 없이 인터넷 익스플로러, 크롬 등 5개 주요 웹브라우저(인터넷 익스플로러(버전11 이상), 크롬, 파이어폭스, 오페라, 사파리) 어디에서든 서비스 이용이 가능하다.

HTML5 : 웹문서 등 서비스를 위한 기본 프로그래밍 언어인 HTML의 최신 규격이다. ’14년 전 세계 웹표준을 개발하는 국제 컨소시엄 W3C(World Wide Web Consortium)가 웹표준으로 지정한 바 있다.

WebGL : 인터넷 익스플로러, 크롬 등 일반 웹브라우저에서 3D 그래픽 구현이 가능하게 해주는 프로그램으로 현재 최신 버전의 PC와 모바일 브라우저 대부분에서 지원하고 있다.

Active-X : 마이크로소프트사에서 기존에 개발된 일반 프로그램을 웹상에서 쉽게 적용시키기 위해 개발한 기술로 웹표준과 무관하게 인터넷 익스플로러에서만 지원되기 때문에 타 웹브라우저에서는 사용이 불가하다. 현재는 호환성, 보완성 등의 문제로 사용 자제를 권고하고 있다.

Plug-in : Active-X의 호환성 문제를 개선하고자 개발된 기술로 각 웹브라우저마다 별도의 설치 과정이 필요하다.

이밖에도 고도화작업을 통해 지하철 역사, 시청사 등 공공시설 159곳의 3D 실내지도도 공간정보 안에서 볼 수 있다. 3차원으로 구현된 공간상에서 건물을 선택해 원하는 층수를 클릭하면 건물 내부구조도 3D로 확인 가능하다. 시는 건물 안팎의 3D 공간정보를 한 곳에서 제공함으로써 시너지 효과를 낼 것으로 기대하고 있다.

이 서비스는 ’15년부터 웹과 모바일로 제공하고 있는 ‘서울시 실내지도 서비스’와 연계했다. 시는 ’13년 서울형 뉴딜일자리 창출 사업을 통해 전국에서 가장 많은 데이터를 구축·보유할 수 있게 됐다.

3차원 공간정보 위에 교통 CCTV 영상, 서울시정 홍보영상 등 동적 콘텐츠를 융·복합해 구현하는 서비스도 시범운영한다. 주요지점 2곳(남대문로, 경부고속도로 서초1교)을 검색하면 그 지역의 실제 교통 CCTV 영상을 볼 수 있다. 서울 도서관 정문 위 현판 자리에서는 서울시정 홍보영상이 음향까지 재생된다. 융·복합 서비스는 향후 이용자 의견 등을 수렴해 확대해나갈 예정이다.

아울러 시는 이용자가 3차원 공간정보를 단순히 확인하는 데서 그치는 것이 아니라 나아가 이를 응용해 직접 프로그램이나 서비스를 개발할 수 있도록 정보를 공개하는 ‘Open API’ 등으로 서비스를 확대할 계획이다.

‘Open API’는 지도 서비스 등에서 시도되고 있으며 누구나 접근해 사용할 수 있다는 장점이 있다.

또 향후 공간정보 갱신에 소요될 비용과 시간을 절감하기 위해 항공사진 기반의 3D 모델링 자동화 기술 도입, 드론 촬영 영상 활용, 민간 포털과의 3차원 공간정보 공동 활용 등 다각적인 방안을 검토, 적용해나갈 계획이다.

최영훈 서울시 정보기획관은 “3차원 공간정보 시스템 서비스 확대는 정부3.0 정책에 걸맞게 3D 공간정보를 누구나 쉽게 활용할 수 있도록 하는 서비스 기반 구축이 목적”이라며 “이를 토대로 향후 모바일을 통해서도 다양한 융·복합 서비스를 제공해 시민들이 언제 어디서나 3차원 공간정보 서비스를 활용할 수 있도록 할 것”이라고 말했다.

서울시 3차원 공간정보 시스템: http://3dgis.seoul.go.kr
브이월드 : http://www.vworld.kr
서울시 실내공간 서비스: http://indoormap.seoul.go.kr

출처 : 뉴스와이어
제공 : 데이터 전문가 지식포털 DBguide.net 

모바일 앱 개발의 보안강화를 위한 스프링 시큐리티 프레임워크

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2311

모바일 앱 개발의 보안강화를 위한 스프링 시큐리티 프레임워크

​

​

​

​‘스프링 프레임워크 (Spring Framework)’ 는 자바 플랫폼 을 위한 오픈소스 애플리케이션 프레임워크 로서 간단히 스프링 (Spring) 이라고도 불린다

. 아키텍처의 중요성이 강조되면서 조명받기 시작하여 엔터프라이즈 어플리케이션 개발의 복잡성을 줄여주고 , 모든 기능을 종합적으로 제공하는 경량화된 솔루션이다 .

​

우리나라 전자정부의 웹 서비스 개발 시 , 사용을 권장하고 있는 전자정부 표준프레임워크 의 기반 기술로도 쓰이고 있다.

그 중에서도 ‘ 스프링 시큐리티 ’ 는 스프링 프레임워크의 하위 개념으로 , ‘ 웹 보안 ’ 에 관련된 프레임워크이다 .

 스프링 시큐리티는 강력하면서도 사용하기가 쉽고, 게다가 단 몇 십줄의 코드만으로도 대형 웹 서비스사와 비슷한 수준의 보안을 유지할 수 있다는 장점이 있다 .

​

 물론 기업에서 필요한 시스템에 적합한 시스템을 만들기위해서는 적절한 튜닝이 필요하겠지만 그에 따른 스프링 시큐리티는 정말 최상 중 최상의 선택이 아닐 수 없다 .

​

스프링 시큐리티는 수 년간의 오픈소스 개발로 인하여 많은 노하우가 녹아있지만 , 국내에서는 상대적으로 유명하지 않고 소개되어 있는 곳도 많지 않은 편인 ‘ 스프링 시큐리티 ’ 에 대해  KBS 기술본부 시스템운용부 강자원 기술사로부터 조언을 구할 수 있었다.

1. 스프링 시큐리티 프레임워크의 정의와 역할 2. 스프링 프레임워크의 핵심 3. 스프링 시큐리티 프레임워크 사용방법 4. 스프링 시큐리티 프레임워크 아키텍처

 

Q) 스프링 시큐리티 프레임워크를 한마디로 정의하자면 무엇인가요 ?

스프링 시큐리티 프레임워크는 필요한 인증 , 권한 및 보안관련 기능들을 손쉽게 사용할 수 있게 지원해주는 프레임워크입니다 . 구현은 servlet filter 및 Spring AOP 기반이며 유연한 설계로 다양한 확장 및 커스터마이징이 가능합니다 . 또한 , 비즈니스 로직과 인증 , 권한 로직을 90% 이상 분리가 가능하며 구축된 프레임워크의 재활용과 기존 스프링 기반의 레거시 시스템에 적용할 때 매우 유용한 장점이 있습니다 .

Q) 왜 스프링 시큐리티 프레임워크를 사용하는 건가요 ?  

     보안강화를 위해서 어떤 역할을 하는지 궁금합니다.

  기본 설정만으로도 일반적인 기업 인증 시스템과의 연동이 바로 가능하고 설정을 제외하고 아주 적은 노력만으로도 각 상황에 보안을 적용할 수 있습니다.

또한 , 스프링 시큐리티를 사용하면 다음과 같은 일들을 할 수 있습니다.

- 시스템 사용자를 개별 사용자를 세분화 한다.

- 사용자 역할에 따라 권한부여 레벨을 부여한다

- 사용자 군에 사용자 역할을 부여한다

- 애플리케이션 리소스에 대해 전역으로 인증규칙을 적용한다.

- 모든 애플리케이션 아키텍처 레벨에서 권한 부여 규칙을 적용한다.

- 사용자의 세션을 조작하거나 훔치려는 일반적인 공격을 차단한다.

Q) 스프링 시큐리티 프레임워크의 핵심은 무엇인가요?

 

스프링 시큐리티는 주체를 고유 식별하는데 사용되는 자바 표준 보안개념인 인증입니다.

Principal(java.security.Principal) 을 확장해 사용하고 , 전형적인 Principal 에서는 시스템 사용자에 대한 1:1 매핑을 사용하지만 이러한 Principal 은 시스템의 어떠한 클라이언트 , 이를 테면 앱 서비스 클라이언트 , 자동배치피드 등에도 매핑할 수 있습니다.

스프링 시큐리티의 모듈 구성은 아래 그림과 같습니다. [ 그림 1 참조 ]

< 그림 1> Spring security Modules & sub-Modules   

 

* 자료  http://www.journaldev.com/8669/introduction-to-spring-4-security

스프링 시큐리티에서 주로 영향을 주는 방식은 일련의 ServletRequest 필터를 사용한 방식입니다. 필터들이 앱에 대한 모든 요청을 감싸서 처리하게 되는데 , 스프링 시큐리티에서 여러 개의 필터들은 체인 형태를 이루면서 동작을 합니다. 자동설정 옵션을 사용하면 10 개의 스프링 시큐리티 필터가 자동으로 설정되게 됩니다. [ 그림 2 참조 ]

< 그림 2> 스프링 시큐리티의 필터 체인 내의 동작과정

* 자료 http://cfile6.uf.tistory.com/image/144E8D474F976A3F1D1FE4

각 순서와 기능을 간단히 요약하면 다음과 같습니다.

< 표 1> 자동설정으로 구성되는 필터체인 내의 10 개의 필터

* 자료 http://www.nextree.co.kr/p1886/:

필터 체인의 제일 마지막에 위치한 ‘Filter Security Interceptor’ 는 앞에 지나온 모든 필터들의 정보를 토대로 최종 결정을 내리게 됩니다.

Spring Security 는 대략 25 개의 필터를 제공합니다. 이런 필터들은 모두 조건적으로 적용될 수 있습니다. 물론 javax.servlet.Filter 인터페이스를 직접 구현해서 추가할 수도 있고 위에 나열된 필터들을 명시적으로 포함시키거나 제외시킬 수도 있습니다.

Q) 스프링 시큐리티를 사용하면 기본 옵션에서 벗어난 요구사항들은 어떻게 충족시킬 수 있을까요?

스프링 시큐리티는 커스터마이징을 하거나 확장시킬 수가 있는데 , 이렇게 하려면 전체 스프링 시큐리티 필터 체인과 지원 인프라 스트럭처를 처음부터 하나씩 직접 설정해야 합니다 . 이렇게 하나씩 작성할 때에는 빈 의존관계를 염두해서 설정해야 하는데요 . 스프링 시큐리티의 필터들은 순서가 존재하기 때문에 이 순서를 어길 경우에는 예상치 못한 결과가 나올 수도 있습니다 . 그러므로 특별한 경우가 아니라면 순서를 지켜주는 것이 좋습니다.

< 그림 3. 빈 의존관계 구성도 >

 * 자료 http://www.nextree.co.kr/wp-content/uploads/2013/11/2-300x146.png

Q) 스프링 시큐리티 프레임워크를 사용할 때 ‘ 기본설정 ’ 과 ‘ 커스터 마이징 방법 ’ 중 어떤 것을 사용하는 것이 좋을까요?

  너무나도 당연한 답이지만 선택은 사용자의 몫입니다 . 기본 설정으로 사용을 하는 것은 예상하지 못한 결과를 초래하지 않는 최선의 방법이 되겠지만 , 각각 아래와 같은 장점이 있으므로 개발하려는 목적에 맞게 사용하시면 될 것 같습니다.

< 기본 설정의 장점 >

- 일반적인 웹 기반 및 메소드 기반 설정에 적용할 수 있는 강력한 기능의 축약 구문

- 복잡한 설정을 적용하기 위해 개발자들이 내부적으로 일어나는 세부 내용에 대해 알 필요가 없음

- security 네임스페이스 핸들러 코드가 다양한 설정 이슈 관련 문제를 파악하고 경고해줌

- 설정 과정에서 필요한 부분을 빼놓고 설정할 위험이 극히 적음

< 커스터 마이징의 장점 >

- 화장 , 오버라이드 , 표준 스프링 스탤에서 의도적으로 일부를 생략하는 것과 같은 유연성을 허용함

- filter-chain 엘리먼트의 pattern 어트리뷰트를 사용해 URL 패턴에 의존한 커스텀 필터 체인 및 인증을 허용하는데 이러한 기능은 웹 서비스 또는 REST 인증과 사용자 기반 인증이 함께 사용될 때 필요할 수 있음.

- 설정 파일들이 스프링 시큐리티 네임스페이스 처리와 직접적인 연관성이 없음.

- 인증 관리자를 명시적으로 설정하거나 오버라이드 할 수 있음.

- 단순한 security 네임스페이스를 적용할 때보다 훨씬 더 많은 설정 옵션을 사용할 수 있음.

Q) 마지막으로 스프링 시큐리티 프레임워크에 대해 정리 부탁드리겠습니다.

스프링 시큐리티의 기본 아키텍처는 다음과 같습니다.

< 그림 4> Spring Sequrity Basic Architecture

 * 자료 https://visola.github.io/img/blog/spring-security-architecture.png:

웹 어플리케이션 인증절차를 아키텍처를 기반으로 간단히 설명을 하자면 다음과 같습니다 .

인증요청 시 보호된 자원일 경우 로그인 여부를 판단하고 로그인 성공 시 권한을 체크하여 리소스에 접근권한을 줍니다 . 만약 접근 권한이 없다면 403, 로그인 실패라면 페이지 재호출을 하게 됩니다 .

요청 -> Filter Chain 호출 -> 인터셉터 호출  -> 자원접근

그에 대한 과정과 상세화는 아래 그림과 같습니다 .

 

자료 : 구글 이미지

따라서 , 기본 아키텍처와 상세화 부분을 매칭시키면 아래와 같습니다 .

시스템을 개발하면 거의 필수적으로 포함되어야 하는 보안에 관한 이슈가 생기는데 , 수 년간의 오픈소스 개발로 인하여 많은 노하우가 녹아있는 스프링 시큐리티에 대한 소개였습니다.

< 참고문헌 >

http://www.nextree.co.kr/

http://springmvc.egloos.com/

https://visola.github.io/2012/07/20/customizing-spring-security/

http://www.journaldev.com/8669/introduction-to-spring-4-security