JWT 보관에 대해 다른분들의 생각이 궁금합니다.

Question

요즘에는 jwt를 안쓰는 곳을 찾아보기 힘들 정도인 것 같습니다.해서 구글에서 레퍼런스를 구하다보면 리프레쉬 토큰을 db나 레디스에 저장하는 글들이 많아보이는데요.액세스 토큰이든 리프레쉬 토큰이든 어딘가에 저장되면 안되는 것이 아닌가? 라고 생각하고 있습니다.꼭 서버리스뿐만이 사용의 이유가 되진 않겠지만.. 혹은 제가 토큰인증방식 자체를 이해를 잘못하고 있는건가 싶기도 해서다른분들의 생각이 궁금합니다. 답변 주시면 감사하겠습니다.

Nashiba · Answer

거창하게 oauth라는 말을 쓰는데 그 의미는 잘 모르는 분이 많습니다.Oauth는 통합적으로 토큰을 하나 이용하여보안, 인가를 처리하는 로직입니다.서비스마다 쿠키 로직을 따로 받아서복잡하게 관리하는것이 아니라하나의 인증 토큰에 정보를 담고서명을 인증하는 방식으로 서버에 가해지는 불필요한 부담을 줄이는 겁니다.

ISA · Answer

그건 이전 토큰을 검증하고 만료시켜줄 목적으로 저장하는 것이고 엑세스 토큰은 그냥 메모리에(클라이언트) 보관하다가 휘발시키면 되는데 리프레쉬 토큰의 경우 엑세스토큰을 재발급 하는게 목적이다 보니 해당 토큰이 유효한지 탈취되지 않았는지 검증할 목적으로 저장하는 거라고 생각하시면 될거같아요

a little more · Answer

jwt 자체로는 한번 발행되고 나면 원격 만료 자체를 포함한 컨트롤이 근본적으로 불가능해서토큰 만료시간을 짧게 가지고 리프레시 토큰이라도 등록해서 사용하는듯 하네요JWT 는 사용하고 싶은데, JWT 만으로는 세션에 대한 조건이 만족을 시킬 수 없으니 저렇게라도 사용 하는듯 합니다.그래서 저는 회원 로그인, 세션 에선 굳이 JWT 를 사용하지 않아요

ㄷㄱㄷㄱㄷㄱㄷㄱ · Answer

답변 주셔서 감사합니다~

OKKY_OP2 · Answer

해당 게시물은 관리자에 의해 기술에서 기타로 이동 되었습니다.

JWT 보관에 대해 다른분들의 생각이 궁금합니다.

5개의 답변

기타 목록