Http redirect 시 JWT 토큰 값을 어떻게 전달해야할까요?

Question

spring security, oauth2, jwt 기반의 소셜 로그인을 구현하고 있는데요!로그인 성공 시 엑세스 토큰과 리프레시 토큰을 프론트로 전달하고 싶습니다.그런데 문제는 redirect 하면 헤더로 설정한 값이 전부 사라지더라구요...(쿠키로 전달을 해보기도 했으나 samesite 속성을 none으로 설정해주기 위해선 쿠키 값을 헤더로 넘겨줘야 했습니다...)엑세스 토큰은 쿼리 파라미터로 보낸다 치더라도, 리프레시 토큰은 쿼리 파라미터로 보내는게 좋은 방법은 아닌거 같은데...redirect를 진행하면서 원하는 데이터를 안전하게 보낼 수 있는 방법이 있을까요...?

심모 · Accepted Answer

저도 궁금해서 GPT물어보니깐리다이렉트 시에 헤더에 authToken을 직접 포함시키는 것은 불가능합니다. 리다이렉트는 브라우저를 통해 다른 페이지로 이동하는 것을 의미하며, 이동하는 과정에서는 브라우저가 요청을 생성하고 서버에 보내는데, 이때 헤더를 직접 조작하는 것은 불가능합니다.대신, 리다이렉트 시에 authToken을 안전하게 전달하려면 다음과 같은 방법들을 고려할 수 있습니다:URL 파라미터로 전달: 리다이렉트 URL에 authToken을 URL 파라미터로 포함시키는 방법입니다. 이 방법은 간단하지만 보안적으로 취약합니다. URL은 브라우저의 주소 표시줄에 노출되므로, 다른 사람이 authToken을 쉽게 볼 수 있습니다.세션 또는 쿠키 사용: authToken을 세션 또는 쿠키에 저장하고, 리다이렉트한 페이지에서 해당 세션 또는 쿠키를 확인하여 사용하는 방법입니다. 이 방법은 authToken을 브라우저에 직접 노출하지 않고 보안성을 높일 수 있습니다.리다이렉트 URL에 인증 토큰 대신 랜덤한 토큰 사용: authToken을 브라우저에서 바로 사용하지 않고, 임시 토큰을 생성하여 리다이렉트 URL에 포함시킨 후, 해당 토큰과 관련된 처리를 서버에서 수행하는 방법입니다. 이는 보안상 더 강력한 방법이지만, 구현이 복잡할 수 있습니다.주의: 인증 토큰을 다룰 때에는 보안에 신경써야 합니다. 토큰을 안전하게 전달하고, 노출되지 않도록 처리하는 것이 중요하며, 보안 취약점에 대한 대비를 반드시 고려해야 합니다.라고 하네요. 결론은 헤더에 넣는건 불가능한거같습니다.

뎅이 · Answer

redirect는 서버에서 명령을 내려도 browser에 전달되어 browser 주소가 바뀌는 방식입니다.즉, 이전 request의 header에 JWT 토큰이 들어 있어도 전달될 수 없습니다.이런 경우에는 redirect url과 jwt 토큰을 받아서 redirect 처리를 수행하는 client page를 만들어서 호출해야 합니다.

Http redirect 시 JWT 토큰 값을 어떻게 전달해야할까요?

2개의 답변

Q&A 목록