// HeaderWriterFilter 를 securityFilterChain에 추가합니다.
http.headers((headers) -> headers. ~~);

// CorsFilter를 추가합니다.
http.cors(withDefaults());

// SessionManagementFilter, ConcurrentSessionFilter, DisableEncodeUrlFilter, ForceEagerSessionCreationFilter 를 추가합니다.
http.sessionManagement((sessionManagement) -> sessionManagement.~~);

// portMapper 에 port 를 등록합니다. requiresChannel 설정에 의해 사용됩니다.
// 9090 port 를 9443 으로 redirect
http.portMapper((portMapper) -> portMapper
  					.http(9090).mapsTo(9443)
  					.http(80).mapsTo(443));

// X509AuthenticationFilter 를 추가합니다.
// X509 인증서에서 사용자 이름을 추출하려고 시도합니다. 이 기능이 작동하려면 서블릿 컨테이너가 클라이언트 인증서를 요청하도록 구성되어야 합니다.
http.x509(withDefaults());

// RememberMeAuthenticationFilter 를 추가합니다.
// session 이 만료되거나 쿠키가 없더라도 애플리케이션이 기억하는 기능입니다. (자동로그인)
http.rememberMe(withDefaults());

// AuthorizationFilter 를 추가합니다.
// 인증된 사용자가 접근할 수 있는 url 과 권한을 체크합니다.
http.authorizeHttpRequests((authorizeHttpRequests) -> ~~);

// RequestCacheAwareFilter 를 추가합니다.
// 저장된 요청이 캐시되어 있고 현재 요청과 일치하는 경우 저장된 요청을 재구성하는 역할을 담당합니다.
http.requestCache((requestCache) -> ~~);

// ExceptionTranslationFilter 를 추가합니다.
// 필터 체인 내에서 발생하는 모든 AccessDeniedException 및 AuthenticationException을 처리합니다.
http.exceptionHandling((exceptionHandling) ->~~)

// SecurityContextHolderFilter 를 추가합니다.
// SecurityContextRepository를 사용하여 SecurityContext를 얻고 이를 SecurityContextHolder에 설정하는 jakarta.servlet.Filter입니다
http.securityContext((securityContext) -> ~~)

// SecurityContextHolderAwareRequestFilter 를 추가합니다.
// exceptionHandling, logout 설정정보를 참조하여 SecurityContextHolderAwareRequestFilter 에 셋팅합니다.
http.servletApi((servletApi) -> ~~);

// CsrfFilter 를 추가합니다.
// 동기화 토큰 패턴을 사용하여 CSRF 보호를 적용합니다.
// logout, sessionManagement 설정정보를 참조합니다.
http.csrf((csrf) -> ~~);

// LogoutFilter 를 추가합니다.
// 로그아웃 후 사용된 생성자에 따라 구성된 LogoutSuccessHandler 또는 logoutSuccessUrl에 의해 결정된 URL로 리다이렉트가 수행됩니다.
http.logout((logout) -> ~~);

// AnonymousAuthenticationFilter 를 추가합니다.
// SecurityContextHolder에 Authentication 객체가 없는지 감지하고 필요한 경우 하나를 채웁니다.
http.anonymous((anonymous) -> ~~);

// UsernamePasswordAuthenticationFilter 를 추가합니다.
// login url 를 설정하지 않을경우 DefaultLoginPageGeneratingFilter, DefaultLogoutPageGeneratingFilter 가 추가됩니다.
http.formLogin((formLogin) -> ~~);

// Saml2WebSsoAuthenticationRequestFilter 를 추가합니다.
http.saml2Login(withDefaults());

// logout 설정을 참조하고 CsrfFilter 앞에 Saml2LogoutRequestFilter, Saml2LogoutResponseFilter 를 추가합니다.
http.saml2Logout(withDefaults());

// BasicAuthenticationFilter 앞에 Saml2MetadataFilter 를 추가합니다.
http.saml2Metadata(Customizer. withDefaults());

// OAuth2AuthorizationRequestRedirectFilter 를 추가합니다.
// 이 필터는 최종 사용자의 사용자 에이전트를 인증 서버의 인증 엔드포인트로 리다이렉트함으로써 권한 부여 코드 부여 흐름을 시작합니다.
http.oauth2Login(withDefaults());

// OAuth2AuthorizationRequestRedirectFilter, OAuth2AuthorizationCodeGrantFilter 를 추가합니다.
// OAuth 2.0 권한 부여 코드 부여를 위한 필터로, OAuth 2.0 인증 응답 처리를 담당합니다.
http.oauth2Client(withDefaults());

// BearerTokenAuthenticationFilter 를 추가합니다.
// OAuth 2.0 베어러 토큰을 포함하는 요청을 인증합니다. 이 필터는 OAuth 2.0 베어러 토큰을 인증할 수 있는 AuthenticationManager와 연결되어야 합니다.
http.oauth2ResourceServer((oauth2ResourceServer) -> ~~);

// ChannelProcessingFilter 를 추가합니다.
// 요청이 필요한 채널을 통해 전달되도록 보장합니다. 실제 채널 보안 결정과 필요한 조치를 구성된 ChannelDecisionManager에 위임합니다. 
http.requiresChannel((requiresChannel) -> ~~)

// BasicAuthenticationFilter 를 추가합니다.
// HTTP 요청의 BASIC 인증 헤더를 처리하여 그 결과를 SecurityContextHolder에 넣습니다.
http.httpBasic(withDefaults());

// RequestMatcherRedirectFilter 를 추가합니다.
// RequestMatcher와 일치하는 요청을 지정된 URL로 리다이렉트하는 필터입니다.
http.passwordManagement(passwordManagement -> ~~);

// 지정된 Url 에서만 security 가 적용되도록 합니다.
http.securityMatchers((matchers) -> matchers.requestMatchers("/api/**"));

// J2eePreAuthenticatedProcessingFilter 를 추가합니다.
http.jee((jee) -> ~~)

/**
 * Disables encoding URLs using the {@link HttpServletResponse} to prevent including the
 * session id in URLs which is not considered URL because the session id can be leaked in
 * things like HTTP access logs.
 *
 * @author Rob Winch
 * @since 5.7
 */
public class DisableEncodeUrlFilter extends OncePerRequestFilter {

	@Override
	protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
			throws ServletException, IOException {
		filterChain.doFilter(request, new DisableEncodeUrlResponseWrapper(response));
	}

	/**
	 * Disables URL rewriting for the {@link HttpServletResponse} to prevent including the
	 * session id in URLs which is not considered URL because the session id can be leaked
	 * in things like HTTP access logs.
	 *
	 * @author Rob Winch
	 * @since 5.7
	 */
	private static final class DisableEncodeUrlResponseWrapper extends HttpServletResponseWrapper {

		/**
		 * Constructs a response adaptor wrapping the given response.
		 * @param response the {@link HttpServletResponse} to be wrapped.
		 * @throws IllegalArgumentException if the response is null
		 */
		private DisableEncodeUrlResponseWrapper(HttpServletResponse response) {
			super(response);
		}

		@Override
		public String encodeRedirectURL(String url) {
			return url;
		}

		@Override
		public String encodeURL(String url) {
			return url;
		}

	}

}

    /**
     * Encode the session identifier associated with this response into the specified URL, if necessary.
     *
     * @param url URL to be encoded
     *
     * @return <code>true</code> if the URL was encoded
     */
    @Override
    public String encodeURL(String url) {

        String absolute;
        try {
            absolute = toAbsolute(url);
        } catch (IllegalArgumentException iae) {
            // Relative URL
            return url;
        }

        if (isEncodeable(absolute)) {
            // W3c spec clearly said
            if (url.equalsIgnoreCase("")) {
                url = absolute;
            } else if (url.equals(absolute) && !hasPath(url)) {
                url += '/';
            }
            return toEncoded(url, request.getSessionInternal().getIdInternal());  // <=== 여기서 session id 가 url 에 query string 으로 추가된다.
        } else {
            return url;
        }

    }

...
http.sessionManagement(AbstractHttpConfigurer::disable)
...

public final class WebAsyncManagerIntegrationFilter extends OncePerRequestFilter {

	private static final Object CALLABLE_INTERCEPTOR_KEY = new Object();

	private SecurityContextHolderStrategy securityContextHolderStrategy = SecurityContextHolder
		.getContextHolderStrategy();

	@Override
	protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
			throws ServletException, IOException {
		WebAsyncManager asyncManager = WebAsyncUtils.getAsyncManager(request);
		SecurityContextCallableProcessingInterceptor securityProcessingInterceptor = (SecurityContextCallableProcessingInterceptor) asyncManager
			.getCallableInterceptor(CALLABLE_INTERCEPTOR_KEY);
		if (securityProcessingInterceptor == null) {
			SecurityContextCallableProcessingInterceptor interceptor = new SecurityContextCallableProcessingInterceptor();
			interceptor.setSecurityContextHolderStrategy(this.securityContextHolderStrategy);
			asyncManager.registerCallableInterceptor(CALLABLE_INTERCEPTOR_KEY, interceptor);
		}
		filterChain.doFilter(request, response);
	}

	/**
	 * Sets the {@link SecurityContextHolderStrategy} to use. The default action is to use
	 * the {@link SecurityContextHolderStrategy} stored in {@link SecurityContextHolder}.
	 *
	 * @since 5.8
	 */
	public void setSecurityContextHolderStrategy(SecurityContextHolderStrategy securityContextHolderStrategy) {
		Assert.notNull(securityContextHolderStrategy, "securityContextHolderStrategy cannot be null");
		this.securityContextHolderStrategy = securityContextHolderStrategy;
	}

}

	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.csrf(AbstractHttpConfigurer::disable) 
			.addFilterBefore(new CustomJwtAuthenticationFilter(customJwtProvider, SECRET_KEY),
				UsernamePasswordAuthenticationFilter.class)
			.authorizeHttpRequests(authorizeRequests ->
				authorizeRequests
					.requestMatchers(
						AntPathRequestMatcher.antMatcher("/api/**")
					).authenticated() // api 가 포함된 url 은 인증된 사용자만.
					.requestMatchers(
						AntPathRequestMatcher.antMatcher("/api/service/**")
					).hasAuthority("ROLE_MEMBER") // /api/service/** 는 회원만.
					.requestMatchers(
						AntPathRequestMatcher.antMatcher("/api/admin/**")
					).hasAuthority("ROLE_ADMIN") // /api/admin/** 는 어드민만.
					.requestMatchers(
						AntPathRequestMatcher.antMatcher("/**")
					).permitAll()
			);
		return http.build();
	}

	@Override
	protected void doFilterInternal(@NonNull HttpServletRequest request, @NonNull HttpServletResponse response,
		@NonNull FilterChain filterChain) throws ServletException, IOException {
		try {
			String token = CustomJwtProvider.resolveToken(request);
			CustomJwtProvider.validateToken(token, secretKey);
			Authentication auth = customJwtProvider.getAuthentication(token, secretKey);
			SecurityContextHolder.getContext().setAuthentication(auth);
		} catch (AuthorizationNotFoundException ae) {
			// skip
		} catch (ExpiredJwtException ee) {
			log.warn(ee.getMessage());
			response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "The token has expired.");
			return; // 다음 진행이 되지 않아야 401 로 응답됨.
		} catch (Exception e) {
			log.warn(e.getMessage());
			response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "The token is invalid.");
			return; // 다음 진행이 되지 않아야 401 로 응답됨.
		}

		filterChain.doFilter(request, response);
	}

...

	// header.Authorization 에서 bearer token 취득
	public static String resolveToken(HttpServletRequest request) {
		String authorization = request.getHeader(HttpHeaders.AUTHORIZATION);
		if (authorization == null)
			throw new AuthorizationNotFoundException("The request header does not contain Authorization.");
		return authorization.split(" ")[1].trim();
	}

	public static boolean validateToken(String token, String secretKey) {
		secretKey = getBase64EncodeSecretKey(secretKey);
		Jws<Claims> claims = Jwts.parserBuilder().setSigningKey(secretKey).build().parseClaimsJws(token);
		return claims.getBody().getExpiration().after(new Date());
	}

	public Authentication getAuthentication(String token, String secretKey) {
		// todo 차후 redis 에서 조회하는 방식으로 변경.
		UserDetails userDetails = userServiceImpl.loadUserByUsername(getSubject(token, secretKey));
		return new UsernamePasswordAuthenticationToken(userDetails, token, userDetails.getAuthorities());
	}

...