SpringSecurity에서 JWT로 인증구현 시 authorization Header에 집어넣기

Question

SpringSecurity로 유저 로그인 기능을 개발하고 있는데 원래는 기본 Http Session 방식으로 하다가 JWT로 바꿔서 개발하고있습니다. 근데 하다가 궁금한 점이 서버에서 인증절차를 거쳐서 token을 클라이언트로 반환하면 클라이언트는 어딘가 메모리에 토큰을 저장해뒀다가 서버에 요청을 날릴 때 token을 같이 날려줘야 하지 않습니까 그래서 보통 jwt 예제를 보면 authorization header에 Bearer 접두어랑 같이 넣어서 날리라고 되어있더라구요 그런데 여기서 문제가 authorization header는 클라이언트에서 api 호출시에 header 설정 부분에서 명시적으로 지정하는건데 그 외에 URL 링크 처럼 브라우저에서 자동으로 request 날려주는 경우에는 제가 별도로 설정해서 authorization header를 추가하도록 하는게 없는것 같더라구요 근데 지금 제가 만들고 있는 프로젝트는 딱히 권한이 필요하지 않은 api 라고 하더라도 Controller에서 SecurityContext에 Authentication 정보가 존재하는 경우 유저정보를 같이 반환해줘서 thymeleaf에서 유저정보 유무로 화면에 다르게 표시하도록 되어 있어서 [로그인 API 날림 -> 서버로 부터 token 받음 -> 클라이언트(브라우저)에서 발생하는 모든 request의 authorization header에 token 적재]이 기능이 필요한 상황입니다. 검색을 좀 해보니까 You can't specify headers in browser navigation. If you need to authenticate when the user visits the page, you should create a cookie.Cookies get sent in all requests. Storing your authentication token there would do what you need. Because JWT's are intended to use for an API. Frontend fetches data from the API using its JWT. You can still use cookies and prevent them from being insecure. If you need authentication on navigation, JWT is the wrong tool for the job. 이렇게 정 필요하면 쿠키를 쓰는게 맞고 API호출 외에 URL navigation에는 jwt가 맞지 않는다는 답변들이 종종 보이는데 그냥 쿠키로하자니 authorization header에 token을 싣는 이유가 있을것 같고 어떻게 해야할지 모르겠습니다.

테스트맨 · Answer

타임리프로 개발하시는 것 같은데... 그렇다는 이야기는 서버 + 클라이언트소스가 하나라는 것이겠죠?이런 경우 굳이 JWT를 사용 할 이유 자체가 없습니다.

SpringSecurity에서 JWT로 인증구현 시 authorization Header에 집어넣기

1개의 답변

#authorization 목록