JWT를 공부하다가 이렇게 하는게 맞는지 궁금하네요

Question

일하면서 퇴근 후 독학으로 CRUD 게시판을 리액트로 제작중이고백엔드는 우선 PHP로 만들고 타 백엔드들로 클론코딩을 하려고 했습니다.그렇기 위해 리액트에서는 JWT를 쓰는게 좋다 해서제가 생각한 JWT는 일단액세스 토큰 - 우선 검증이니 ID / 닉네임 / 프로필사진( PHP다보니 &#34;.&#34;으로 못하더라고요 파일명과 확장자명으로 구분지었습니다) / 유효기간을 담아서 보냅니다리프레시 토큰 - 단순한 장기 보관용이니 ID랑 유효기간만 담았습니다.이렇게 토큰을 주고 DB에서도 로그인 정보 테이블을 만들어유저 ID액세스토큰 (암호화된 그대로)리프레시토큰 (암호화된 그대로)로그인 날짜리프레시토큰 만료일접속 IP첫 로그인에 로그인 정보를 DB에 담고액세스 토큰을 우선 검증 한 뒤에 유효하면 로그인 유지토큰이 만료되면 리프레시 토큰의 유효기간을 검증한 뒤에유효한 리프레시 토큰이라면액세스 토큰이 변조되거나 탈취된 상황이라는걸 가정해서DB에서 해당 로그인 정보 (유저 ID, 액세스토큰, 리프레시토큰)을 대조하고모두 일치한다면 액세스 토큰을 재발행하고 DB에서 로그인날짜를다시 업데이트 하는 식으로 만들었습니다.이게 맞는지 모르겠네요추가적으로 궁금한 게 하나 더 있습니다.보통 리프레시 토큰은 쿠키로 보관하고 httpOnly, Secure, SameSite 옵션을 쓰려고 하는데리액트에서도 쿠키를 써서 검증하는게 안전하고 좋을까요?

kenu,전독시 · Accepted Answer

image from: https://www.bezkoder.com/vue-refresh-token/구현 방법은 여러 가지가 있는데, 참고하시면 좋을 것 같습니다.

JWT를 공부하다가 이렇게 하는게 맞는지 궁금하네요

1개의 답변

Q&A 목록