궁금한 것이 있습니다. jwt 토큰 관련해서 공부중인데,

Question

서버측에서 사용자에 대한 세션을 저장하지 않고, 토큰에 담아 사용자에게 전달하는 방식으로 알고있습니다.다만, 궁금한 점은 로그아웃을 하게 되면 해당 토큰은 파기 처리를 해야하는데, 이미 발급된 토큰에 대해서 어떻게 파기처리를 해야 하는지 궁금합니다.로그아웃 기능을 구현한 블로그를 보면 레디스에 토큰을 저장하는 방식으로 처리하던데, 그렇다면 왜 굳이 jwt 토큰을 사용하는지 궁금합니다.세션 저장소의 대안으로 jwt 토큰을 발급하는 반면, 왜 또다시 레디스에 저장을 하여 구현하는지 잘 이해가 가지 않습니다..

짱구올시다 · Answer

어차피 로그아웃 요청을 보내는 건 클라이언트 측이기 때문에 이 때 서버에 요청을 보내는게 아닌 클라이언트가 소지하고 있는 토큰만 파기하면 됩니다. (서버에선 토큰을 관리하지 않기 때문)하지만 말씀하신 것처럼 서버에서 토큰을 소지하고 있는 식의 구현을 하는 경우가 있습니다. 이 경우는 토큰이 만약 탈취됐을 경우에 토큰 무력화를 하기 위해서인데요. (일종의 보안성 강화)근데 결국 토큰을 사용하는 이유가 세션처럼 서버에서 관리하지 않기 위해서 나온 개념인데, 또 다시 서버에서 관리하게 된다는 점이 아이러니하죠..

테드쏭 · Answer

한번 발급된 토큰은 회수 불가능합니다.회수 불가능하기 때문에 레디스 등에 로그아웃된 토큰을 저장해서 쓰기도 합니다.

궁금한 것이 있습니다. jwt 토큰 관련해서 공부중인데,

2개의 답변

Q&A 목록