프로젝트 진행중 JWT에 관한 질문

Question

진행중인 프로젝트에서 JWT 를 사용하고 있습니다. JWT에는 sub로 이메일이 들어가고, 유저아이디, 닉네임, oauth 여부의 정보(oauth 안쓸경우 아예 토큰에 안담김)가 들어갑니다.문제는 유저 정보 변경시 토큰 처리 방법입니다. 두 가지 방법을 생각했는데 이외에 다른 방법이 있는지 아니면 두 가지 방법중 무엇이 더 좋다고 생각하시는지 의견이 궁금합니다.유저 정보의 어떤것 이라도 변경되면 토큰을 재발급 하고 유저 수정일 기준으로 이전에 발급된 기존 토큰을 무효화 한다.<문제> 토큰이 남발(?)하여 생성되는 것에 대한 걱정이 있습니다. 프로필 이미지 변경 같은 것에도 굳이 토큰을 재발급 해줘야 하는지 ..redis에 기존 토큰을 저장해 둔다.유저 정보 중 JWT 안에 들어 있거나 password 가 변경되는 것 같은 핵심 유저 정보가 변경되는 것에 대해서만 토큰을 재발급 받고 redis를 갱신한다. 그럼 기존 토큰은 무효화 된다. <문제> 유저는 모든 api call마다 토큰이 유효한지 확인하기 위해 redis에 접근하여야 합니다.보안따위 포기한다. 이해가 안되는게 있으시다면 말씀해주세요. 헬푸미 ㅜㅠㅠㅠ

dhdgn · Answer

1, 2, 3 분명 바꿔서 저장했는데 버그있네요

N+! · Answer

토큰을 인증용으로만 사용한다.

Lamanus · Answer

jwt를 사용하는 목적을 생각해보면 새로 발급해야죠. 토큰을 반복적으로 생성하는게 걱정이라면 유효한 시간을 줄일 수 있습니다.

프로젝트 진행중 JWT에 관한 질문

3개의 답변

기술 목록