Spring Security의 인증(Authentication)과 인가(Authorization)의 차이점과 동작 방식을 설명해주세요.

Spring Security에서 인증(Authentication)과 인가(Authorization)는 보안의 핵심적인 두 가지 단계입니다.

인증은 '누구'인지 확인하는 과정입니다. 사용자가 아이디와 비밀번호를 입력하면, Spring Security는 이 정보를 기반으로 사용자를 식별하고, Principal 객체를 생성하여 SecurityContext에 저장합니다. 이 Principal 객체는 이후 인가 과정에서 사용됩니다.

반면, 인가는 인증된 사용자가 '무엇'을 할 수 있는지 결정하는 과정입니다. 인증된 사용자가 특정 리소스에 접근하려고 할 때, Spring Security는 사용자의 권한(Authorities)을 확인하여 접근 권한을 부여하거나 거부합니다. 예를 들어, 'ADMIN' 권한을 가진 사용자만 특정 API를 호출할 수 있도록 설정할 수 있습니다.

Spring Security의 필터 체인을 통해 이 두 과정이 순차적으로 처리됩니다. 인증 필터가 먼저 사용자를 인증하고, 인가 필터가 인증된 사용자의 권한을 확인하여 접근 제어를 수행합니다.