보안 기초

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/public/**").permitAll()
                .requestMatchers("/api/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
            )
            .sessionManagement(session -> session
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            )
            .csrf(csrf -> csrf.disable());   // 아래 주의 사항을 반드시 확인하세요

        return http.build();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

CSRF 비활성화는 토큰 기반 무상태 API에서만 타당합니다. 브라우저 세션 쿠키를 쓰는 서비스에서 끄면 위조 요청에 그대로 노출됩니다. 예제를 복사할 때 가장 자주 잘못 따라 하는 부분입니다.