보안 취약점 해결을 위한 AWS S3 라이브러리 변경

문제 개요

프로젝트 빌드 시, 지속적으로 발생하는 경고 메시지의 원인을 확인한 결과, 기존에 사용하던 `org.springframework.cloud:spring-cloud-starter-aws` 라이브러리가 보안 취약점으로 인해 2021년 2월 이후 Maven Repository에서 더 이상 업데이트를 지원을 하지 않는다는 사실을 알게 되었습니다.
`build.gradle`에서는 아래와 같이 의존성에 취약점이 있다는 경고 메시지가 나타납니다.

 

해결 방법

라이브러리 변경

해당 문제를 해결하기 위해 `org.springframework.cloud:spring-cloud-starter-aws` 대신 `io.awspring.cloud:spring-cloud-aws-starter-s3:3.0.0` 라이브러리로 변경했습니다. 

implementation 'io.awspring.cloud:spring-cloud-aws-starter-s3:3.0.0'

 

• 설정 파일(S3Config.java) 삭제

`Spring Cloud AWS S3`는 AWS에서 제공하는 `Java SDK`와 달리, 별도의 설정 파일을 생성하지 않아도 됩니다. `CredentialsProviderAutoConfiguration` 클래스가 `application.yml`에 등록된 `access-key`와 `secret-key`를 자동으로 읽어 `Credential` 관련 `Provider` 객체들을 생성합니다. 이를 통해 AWS 서비스에 접근할 수 있습니다.
(이 과정은 내부적으로 `software.amazon.awssdk.services.s3` 라이브러리를 사용하여 구현됩니다.)

 

• application.yml 설정

기존 설정에서 `spring` 네임스페이스를 추가해 줍니다.

spring:
  cloud:
    aws:
      s3:
        bucket: ${bucket}
      credentials:
        access-key: ${accessKey}
        secret-key: ${secretKey}
      region:
        static: ${awsRegion}
        auto: false
      stack:
        auto: false

 

코드 수정

`AmazonS3` 대신 `S3Template`을 사용하도록 수정했습니다.

private final S3Template s3Template;

@Value("${spring.cloud.aws.s3.bucket}")
private String bucket;

public String saveFile(MultipartFile multipartFile) {
    String originalFilename = multipartFile.getOriginalFilename();
    String fileName = generateFileName(Objects.requireNonNull(originalFilename));

    String imageUrl;
    try {
        S3Resource s3Resource = s3Template.upload(
                bucket,
                fileName,
                multipartFile.getInputStream(),
                ObjectMetadata.builder()
                        .contentType(multipartFile.getContentType())
                        .build()
        );
        imageUrl = s3Resource.getURL().toString();
    } catch (IOException e) {
        throw new ApiException(FILE_READ_FAILED);
    }
    return imageUrl;
}

private String generateFileName(String originalFilename) {
    return UUID.randomUUID() + "-" + originalFilename.replace(" ", "_");
}

public void deleteFile(String fileUrl) {
    try {
        URL url = new URL(fileUrl);
        String path = url.getPath();
        String key = path.substring(1);
        String decodedKey = URLDecoder.decode(key, StandardCharsets.UTF_8); // 한글 또는 특수문자가 있는 경우를 위해

        s3Template.deleteObject(bucket, decodedKey);
    } catch (MalformedURLException e) {
        throw new ApiException(INVALID_FILE_URL_FORMAT);
    }
}

 

참고

https://hinweis.tistory.com/111

https://white-developer.tistory.com/75

https://spring.io/projects/spring-cloud-aws#learn