jwt 유효성 검증

Question

jwt 유효성을 검증할때 jwt.verify()를 사용해 유효하면 통과 유효하지않으면 에러문자등 에러가 일어나 jwt.verify()를 사용해 토큰을 유효한지 하지않은지 검사한다고 알고 있습니다.하지만 이 쿠키에 저장된 토큰이 탈취되어 토큰을 보낼 때 탈취한 토큰으로 인증할까봐 걱정이되어 jwt.verify()를 통해 유효한 토큰인지 확인하고 다시 지금 로그인한사람과 토큰속 유저의 정보가 일치하는지 확인하는 과정은 필요가 없는지 궁금합니다.만약 jwt.verify()과정말고 덧붙여야하는 과정이 있다면 그것또한 알려주시면 감사하겠습니다!

초무쿤 · Answer

별도의 확인은 필요도 없고 확인할 방법도 없다고 봐지는데용.JWT 가 verify하다는 이야기는 secretKey 도 일치하고 expired 기간이 지나지도 않았으니깐요.굳히 한다면 claim에 remote IP같은거 항목을 두어서인증받은 remote IP 와 인증요청한 remote IP가 같은지 확인하는 정도일텐데.(예전 상용 스트리밍 서비스에서 로그인 후 인증토큰을 친구한테 보내서 친구랑 같이 사용해서 문제된적이 있어서 .. 그거 막는데고 그렇게 한적은 있는데 일반적인 상황은 아닌듯..)토큰 탈취 문제라면 expired time 을 줄이는게 일반적이지 싶습니다.

jwt 유효성 검증

1개의 답변

Q&A 목록