리액트) JWT 토큰 쿠키에 저장할 시

Question

jwt 토큰을 쿠키에 저장할 시 httpOnly와 secure, sameSite를 설정해주는 것이 가장 좋은 방법일까요? 개발할 당시 httpOnly와 secure, sameSite 등을 고려하지 않고 현재 대부분 개발을 마쳤습니다. 이럴 경우에는 백 , 프론트 둘 다 httpOnly를 설정하고 수정하는 것이 나은걸까요? 아니면 엑세스 토큰과 리프레시 토큰을 잘 조율하여서 관리를 하는게 나을까요? 그리고 세션스토리지나 로컬 스토리지로 토큰을 저장하여 사용할 경우에는 토큰이 그대로 사용자에게 노출이 되는데 이런 경우에는 어떻게 처리 하시나요 ?

KarlStyner · Answer

JWT는 '노출될 것을 감안하고' 사용하는 토큰입니다.트래픽 자체를 볼 수 있는 브라우저에서, 사용자에게 발급된 토큰(전통적인 형태의 세션아이디도 동일) 을 완벽하게 숨길 방법은 없습니다.위와 같은 전제를 깔고 생각하시는게 어떨까 싶습니다.&#43;덧붙여, httpOnly와 secure, sameSite 는 쿠키 구조의 취약점에 대한 '공격'에 대비하기 위한 옵션이지, '노출'에 대비하기 위한 옵션이 아닙니다. 위에도 언급했듯 노출 자체를 막을 방법은 없습니다.

리액트) JWT 토큰 쿠키에 저장할 시

1개의 답변

Q&A 목록