JWT 토큰을 request헤더에 넣는 이유

Question

인증방식에는 세션, 쿠키, 토큰방식이 있고토큰방식은 일반적으로 클라이언트가 서버로 request header에 값을 넣어 보낸다고 알고있습니다.이때 클라이언트가 별도로 header에 넣지 않고 자동으로 쿠키로 보내도 될까요?만약 그렇게한다면 문제가 뭐가 있을까요?왜 일반적으로 헤더에 넣어서 보내는지가 궁금합니다. 팀원을 설득해야 되서 ㅠㅠ

하루의_spring · Accepted Answer

쿠키에 넣어도 되는데 쿠키에 넣으면 JWT 필터를 커스텀 수정을 통해서 쿠키에서 추출하게 변경을 해야 합니다기본 JWT 필터 정책은 header authentication 있는bearer 값을 읽는것으로 되어 있는데 클라이언트에서 임의로 수정해서 쿠키로 넣어버리면 서버에서 기본정책은 header 에 있는 이 값을 읽을것이지만 쿠키로 보냈으니 쿠키값을 읽게금 변경을 해야 합니다

wlgns2223 · Answer

헤더에 안넣고 대신에 "자동"으로 어디에 넣을 수 있죠?

뎅이 · Answer

JWT 토큰에는 인증정보가 들어가고동일 도메인에 보내기도 하지만 CORS로 보내기도 합니다.Cookie는 동일 도메인에서만 가능하죠.Param 으로 보내도 되긴 하는데, 데이터와 섞이는 것도 그렇고일반적으로 Header 에 넣어서 보냅니다.

전용범 · Answer

쿠키도 헤더에 들어가죠,,

오후 · Answer

API 서버와 협의만 되어있다면 쿠키든 header 든 body 든 상관이 없습니다만별도의 추가적인 작업이 없다면 기본적으로 header 를 이용하는게 일반적입니다.Whenever the user wants to access a protected route or resource, the user agent should send the JWT, typically in the Authorization header using the Bearer schema. The content of the header should look like the following:https://jwt.io/introduction

カワウソ · Answer

RFC 7235로 Authorization 헤더를 통해 크레덴셜를 전달하는 표준이 있고 기존에 사용해오던 토큰 방식이기 때문에 특별한 이유가 없다면 굳이 바꿀 필요가 없었을 겁니다.

JWT 토큰을 request헤더에 넣는 이유

6개의 답변

Q&A 목록