현직자 형님들 로그인 관련 플로우 봐주시면 감사하겠습니다..

Question

취업용 포폴로 사이드프로젝트를 만들고있습니다..! 로그인 관련 플로우 봐주시면 감사드리겠습니다..1. 로그인시 액세스토큰, 로그인상태는 redux 상태로 저장 , 리프레쉬토큰은 쿠키로 httponly 로 받는다.2. 로그인상태를 리덕스로 저장했기때문에 새로고침마다 로그인상태가 날라갑니다. 로그인 유지를 시키기 위해 Layout.tsx같은 전역컴포넌트에 리프레쉬토큰을통한 액세스토큰갱신,로그인상태갱신요청을 백엔드에 보낸다. 3. HTTP요청시 액세스토큰이만료일때 axios interceptor를통하여 중간에 액세스토큰을 새롭게 갱신하는요청을 서버에 보낸후 새로운 토큰을 발급받고 다시 정상적으로 요청이 되게끔한다. (Silent refresh)4. 로그아웃시 로그인관련 리덕스상태 초기화 및 서버는 리프레쉬토큰삭제를한다.이와같은로직일때 악의적으로 새로고침을하면 무조건 액세스토큰을 갱신하기때문에 서버에 과부하가 걸릴수도있는데 이걸 구분하려면 프론트에서 쿠키가 있냐없냐로 요청 보낼지말지를 하면되긴합니다.. 근데 httponly 가 적용되어있어서 직접 쿠키를 조작하지못해서요..새로고침정도로 액세스토큰을 악의적으로 계속 요청한다고해서 서버에 과부하가 많이 걸리나요? 혹시 좀더 좋은방법이나 지금 쓰고계신방법들 공유해주시면 감사드리겠습니다..

하이열 · Answer

로그인 상태가 리로드히면 날아가서 저는 로컬 스토리지에 저장했습니다. 리덕스와 두개다 비교처리 로직을 추가하시면 됩니다.

ykd · Answer

고작 사용자 몇명이 새로고침한다고해서 서비스가 마비되지는 않을 것입니다. aws 프리티어라고 해도 로그인 정도의 트랜잭션은 초당 500rps 이상은 버텨냅니다.매 요청마다 인증/인가가 발생한다면 httponly 와 secure 옵션 등 키 탈취와 관련한 안전장치를 제공하는 쿠키 방식을 사용하지 않을 이유를 모르겠습니다. 인증 실패에 따른 재인증 플로우는 http status code를 따르면 될 것 같습니다. 즉, 쿠키의 유효기간이 세션의 만료기한이며, 세션 만료 이전에 쿠키를 재발급 하는 등 서버 사이드 컨트롤 할 수 있는 이점을 가져갈 수도 있습니다.개인의견을 더하자면, 로컬/세션 스토리지는 인증 키 보관에 적합하지 않다고 생각합니다.리덕스와 같은 전역 상태 저장소는 사용자의 정보 및 사용자 인증 성공 여부 등을 보관하고 전역에서 참조하는 정도로 변경하는 방향은 어떨까요?

현직자 형님들 로그인 관련 플로우 봐주시면 감사하겠습니다..

2개의 답변

Q&A 목록