access token 재발행 방식 질문

Question

현재 access token에 대해 공부중인데요..약간 헷갈리는 부분이front에서 API 요청backEnd middleware에서 access token 검증 후 만료 시 에러 출력에러 받은 front에서 backEnd로 access token 재발급 요청 여기서 2번에서 backEnd가 그냥 자체적으로 access token 만료 시 재발급 처리하면 안되나요?front에서 재발급 요청 로직이 들어가는 이유가 뭔지 궁금합니다.

하루의_spring · Answer

이게 개발하는 방향과 관련있는것인데 2번에서 api 를 요청할때 동일한 사용자인지 아닌지 한번더 검증할려고 그러는 것일 수도 있습니다 그래서 access_token 만료 되었을때 아예 로그인창으로 날려서 로그인부터 다시 하라고 하는 웹페이지도 있습니다이건 개발방향의 문제입니다 2번에서 물론 바로 access_token 을 발급해서 지속성을 유지하는것도 중요하지만 그 사람이 아까와 동일한 사람인지 아닌지는 로그인으로 해서 인증할 수 밖에는 없기에 2번에서 만료되고 3번에서 access_token 을 얻기 위해서 로그인 인증을 다시 시작하는 웹사이트도 있습니다

세브라이드 · Answer

그럼 해커가 에러나는 토큰으로 호출시키면 정상 토큰 받아낼 수 있을 것 같습니당.

dsms · Answer

3번 에 error 응답대신 jwt를 갱신해 주는 처리도 가능합니다. 정책이죠 jwt가 만료되면 error를 리턴해주고 프론트에서 재 로그인 시도 하도록 하는 정책그게 아니라 단순히 jwt를 재발급하도록 한다면 굳이 request를 한번더 할 필요 없겠죠

오후 · Answer

생각하신 방법으로 해도 무방하나 Access Token 과 달리 Refresh Token 의 경우 db관리등 별도의 보안정책이 추가되어있는 경우가 많습니다. (Token 탈취 대비)생각하신 방법으로 하셧을 경우 access token 만 탈취해도 무한대로 토큰이 연장되는 상황이 발생됩니다.

access token 재발행 방식 질문

4개의 답변

#refreshtoken 목록