Spring Boot fat jar에서 서명 검증 라이브러리가 실패한 이유와 해결 방법

app.jar
├── META-INF/
│   └── MANIFEST.MF
├── org/springframework/boot/loader/...
├── BOOT-INF/
│   ├── classes/
│   │   └── com/example/DemoApplication.class
│   └── lib/
│       ├── crypto-module.jar
│       ├── bcpkix.jar
│       └── bcprov.jar

Main-Class: org.springframework.boot.loader.JarLauncher
Start-Class: com.lch275.DemoApplication

java -jar app.jar
→ JarLauncher 실행
→ BOOT-INF/classes, BOOT-INF/lib 스캔
→ 전용 ClassLoader 구성
→ Start-Class 실행

package com.example.security;

import java.security.CodeSource;
import java.security.ProtectionDomain;
import java.security.cert.Certificate;
import java.security.cert.X509Certificate;

public final class ModuleIntegrityVerifier {

    private ModuleIntegrityVerifier() {}

    public static void verify(Class<?> targetClass) {
        ProtectionDomain pd = targetClass.getProtectionDomain();
        CodeSource codeSource = pd.getCodeSource();

        if (codeSource == null) {
            throw new IllegalStateException("CodeSource가 없습니다.");
        }

        Certificate[] certs = codeSource.getCertificates();
        if (certs == null || certs.length == 0) {
            throw new SecurityException("서명 인증서를 찾을 수 없습니다.");
        }

        boolean trusted = false;
        for (Certificate cert : certs) {
            if (cert instanceof X509Certificate x509) {
                String subject = x509.getSubjectX500Principal().getName();
                if (subject.contains("CN=MyTrustedSigner")) {
                    trusted = true;
                    break;
                }
            }
        }

        if (!trusted) {
            throw new SecurityException("허용되지 않은 서명자입니다.");
        }
    }
}

package com.example.security;

import java.net.URL;
import java.nio.file.Path;
import java.nio.file.Paths;
import java.util.jar.JarFile;

public final class NaiveJarVerifier {

    private NaiveJarVerifier() {}

    public static void verifyOwnJar(Class<?> targetClass) throws Exception {
        URL location = targetClass.getProtectionDomain()
                                  .getCodeSource()
                                  .getLocation();

        // boot jar 환경에서 location은 아래와 같은 형태가 된다:
        // jar:file:/path/to/app.jar!/BOOT-INF/lib/crypto-module.jar!/
        // 이 URL은 Paths.get(location.toURI())로 변환할 수 없다.
        // → FileSystemNotFoundException 발생
        Path jarPath = Paths.get(location.toURI());

        try (JarFile jarFile = new JarFile(jarPath.toFile())) {
            if (jarFile.getManifest() == null) {
                throw new SecurityException("MANIFEST가 없습니다.");
            }
        }
    }
}

jar:file:/path/to/app.jar!/BOOT-INF/lib/crypto-module.jar!/

META-INF/MANIFEST.MF
META-INF/SIGNER.SF
META-INF/SIGNER.RSA

# 기본 검증
jarsigner -verify -verbose -certs crypto-module.jar

# 더 엄격한 검증
jarsigner -verify -strict -verbose -certs crypto-module.jar

// build.gradle (Groovy DSL)
tasks.named("bootJar") {
    requiresUnpack("**/crypto-module.jar")
}

// build.gradle.kts (Kotlin DSL)
tasks.named<BootJar>("bootJar") {
    requiresUnpack("**/crypto-module.jar")
}

// build.gradle (Groovy DSL)
tasks.named("bootJar") {
    manifest {
        attributes(
            "Main-Class": "org.springframework.boot.loader.PropertiesLauncher"
            // Start-Class는 Spring Boot 플러그인이 자동으로 설정한다
        )
    }
    // boot jar에서 해당 라이브러리를 제외한다
    exclude("BOOT-INF/lib/crypto-module.jar")
}

tasks.register("copySecureLibs", Copy) {
    // 특정 라이브러리만 선별해서 외부 libs로 복사
    from(configurations.runtimeClasspath.filter {
        it.name.contains("crypto-module")
    })
    into("${buildDir}/libs/libs")
}

tasks.named("bootJar") {
    dependsOn("copySecureLibs")
}

build/libs/
├── app.jar          ← boot jar (crypto-module.jar 제외)
└── libs/
    └── crypto-module.jar   ← 실제 파일 시스템 경로

# loader.path는 시스템 프로퍼티 또는 loader.properties로 전달
java -Dloader.path=libs -jar build/libs/app.jar

# src/main/resources/loader.properties
loader.path=libs