jwt 의 access, refresh token 이 필요한가요??

Question

안녕하세요로그인기능 예제들을 보면 다들 엑세스토큰과 리프레시토큰 두가지를 만들던데요굳이 두가지를 만들 필요가 있나요?은행 로그인하면 상단에 시간카운트가 들어가고 ex)04:59시간이 다 되면 로그아웃 되며, 시간이 되기전에 옆에 연장버튼을 누르면 로그인 유지시간이 연장되고..여기서 연장버튼이 엑세스토큰 재발급 기능인거고, 이렇게 엑세스토큰을 재발급 해야할때 리프레시 토큰을 사용하는건가요?하지만 보통 은행이 아니고서는 다른 사이트들은 한번 로그인하면 브라우저 끄기전까지 쭉 유지되던데은행처럼 보안에 민감한 사이트가 아니라면 그냥 엑세스토큰, 리프레시토큰 나눌 필요없이 하나의 토큰으로만 로그인검증을 해도 되지 않을까요?

으헝러헝헝 · Answer

해당 문제는 토큰기반 로그인의 가장 기초적인 내용 입니다.왜 사용하는지에 대한 내용은 너무 방대하므로 아래 링크 참고 부탁드리겠습니다.https://velog.io/&#64;sozohoy/%ED%86%A0%ED%81%B0-%EC%9D%B8%EC%A6%9D-JWTJson-Web-Token-Access-Token-Refresh-Tokenhttps://stateful.com/blog/refresh-tokens-securityhttps://velog.io/&#64;park2348190/JWT%EC%97%90%EC%84%9C-Refresh-Token%EC%9D%80-%EC%99%9C-%ED%95%84%EC%9A%94%ED%95%9C%EA%B0%80https://hudi.blog/refresh-token/

카레우동 · Answer

아마 은행은 흔히 구현하는 리프레시 토큰의 구조가 아닐 것으로 생각됩니다. 보통 리프레시 토큰 같은 걸 놓는 이유는 15일 정도(대부분 이정도로 구현하는 걸로 압니다) 로그인 없이 사용하도록 하려고 하는 거거든요... 은행같은 경우엔 보안적으로 민감하니 분으로 구현한 것이고 기본적으로는 15일 정도로 하는 것 같습니다. 기본적인 보안은 필요하니까요

르매 · Answer

JWT로 만들어진 액세스 토큰은 애초에 저장소 (DB나 REDIS 같은...)에 저장하지 않고 토큰을 검증할 때 서버에서 시그니처만 체크해 주면 됩니다. 다른 검증 방식처럼 저장소를 뒤지지 않아도 돼서 가볍다는 잇점이 있죠.하지만 이게 단점도 되는데 서비스에서 특정 토큰을 강제로 만료시킬 방법이 없습니다. 예를 들어 유저가 패스워드를 변경했다던가.. 모든 기기에서 로그아웃하기 기능을 사용했다던가의 이유로 서비스가 해당 유저를 기기에서 강제 로그아웃하도록 처리 못하는거죠.왜?다른 검증 방식은 저장소에서 토큰을 삭제하면 되는데 JWT로 된 액세스 토큰은 저장소에 저장하지 않고 시그니처 체크만 통과하면 검증이 되니까요.이럴 때 액세스 토큰의 만료 주기를 짧게 설정하고 리프레시 토큰을 저장소에 저장하는 식으로 보완할 수 있습니다. 예를 들어 액세스 토큰은 발행하고 5분 동안만 유효하게 한다면, 5분이 지난 후에 만료된 액세스 토큰이 넘어왔을 때 서버는 만료되었다고 응답하고, 프론트엔드는 리프레시 토큰으로 새 액세스 토큰을 요청하여 토큰을 갱신한 후, 앞 서 실패했던 작업을 다시 요청하여 처리하는 식입니다.원래는 액세스 토큰이 유출되었을 때 해당 토큰을 무효화할 수단이 필요해서.. 만료일을 너무 길지 않게 설정하자는 권고가 있는데.. 이렇게 하면 너무 자주 자동 로그아웃이 되니까, 이런 불편함을 상쇄하기 위해 리프레시 토큰이란 개념이 생겼다고도 하구요. 구글링해서 읽어보면 JWT 활용 방식은 다양하게 나올 겁니다.

jwt 의 access, refresh token 이 필요한가요??

3개의 답변

#jsonwebtoken 목록