jwt의 accesstoken이 만료되었을 때 로그아웃 시 refreshtoken을 어떻게 처리해야할까요

Question

jwt로 인증을 구현하고 있는데요 , 로그인에 성공하면 access, refresh token을 클라이언트가 발급받고 인증 객체의 username을key로 refreshtoken을 value로 redis에 저장해 두었습니다. 그리고 로그아웃을 요청하면 accesstoken을 key로, logout을 value로하고 username으로 refreshtoken을 삭제하는 방식으로 구현해두었습니다. 그런데 만약에 유저가 만료된 accesstoken을 헤더에 포함하고 있는 상태에서 로그아웃한다면 accesstoken으로부터 claim을 불러오려하면 exception이 터져서 refreshtoken을 삭제할 수가 없는 상황입니다. ㅠㅠ (claims에서 username을 token의 subject로 두었기 때문)일반적으로 로그아웃하면 refreshtoken을 지워주어야 하는 걸로 아는데 어떻게 방법이 없을까요?

kotliner · Accepted Answer

jwt 설계상의 질문이 아니라 spring security 질문으로 보여지는데 맞을까요? JWT accessToken 자체는 stateless하므로 토큰으로부터 claim을 추출한다고 에러가 터지지는 않습니다. spring security 상에서 해당 부분을 어떻게 커스텀해야할지 찾아보시거나 조금 더 자세한 내용을 올려주셔야할 것 같습니다.

jwt의 accesstoken이 만료되었을 때 로그아웃 시 refreshtoken을 어떻게 처리해야할까요

1개의 답변

기타 목록