useInsecureTrustManager 옵션

Spring Cloud Gateway 에서 useInsecureTrustManager 옵션 디폴트는 false 다. 

 

Spring Cloud Gateway 가이드는 보안 이유로 true로 설정하는건 production 에 적합하지 않다고 한다.

cloud.spring.io/spring-cloud-gateway/multi/multi__tls_ssl.html

7. TLS / SSL

 

하지만 Spring Cloud Gateway 프록시 서버와 통신하는 뒷단 서버들이 미리 정의되어 있지 않고,

동적으로 새롭게 추가/제거 되는 상황이라면 문제가 될 수 있다.

 

내가 만든 서버들을 연결시킬 end point 로 존재하는게 Spring Cloud Gateway 프록시 서버인데 뭔소린지 이해가 안될 수 있다.

좀 더 자세히 설명하면, 우리는 Spring Cloud Gateway 프록시 서버를 플랫폼으로 제공했다. 그래서 다른 개발자들이 이용할 수 있게 뒷단 서버 주소를 입력받고 추가되게 만들었다.

 

그러다보니 사용자들이 뒷단 서버 주소를 https://ip 로 입력하는 경우,

또 브라우저에서는 인증된 기관이지만 자바 인증기관 자체 리스트에 포함되지 않은 경우

useInsecureTrustManager 옵션 false로 인해 Spring Cloud Gateway 에서 에러가 발생한다.

 

실제로 문제가 있더라도 중간 프록시서버는 그대로 통과시키는게 옳다고 판단했다.

그래서 production 에서도 useInsecureTrustManager 옵션을 true 로 설정했다.