카카오 api용 access, refresh token에 대한 질문이 있습니다.

Question

안녕하세요. 카카오 api를 사용하기 위해 access token(2시간 유효), refresh token(2달 유효)을 발급받았습니다. 제 계획은 아래와 같습니다. redis에 아래와 같이 두가지 값 저장kakao_refresh_token: sdfdfasd8hi3rc1c823r223dkakao_access_token: a7vdf6fdw7gv8sfdgvwufs#플로우 설명case1.) refresh token이 만료되거나 없다면. access, refresh token 갱신case.2) access token이 없거나 만료되었다면 &#61;> case1절차 진행 &#61;> refresh token이 만료 안되었을시, refresh token을 가지고 access token을 카카오로부터 새로 발급받아 사용.#궁금한점은 다음과 같습니다.1.refresh token은 보통 redis에 저장하는거 확인했는데, 카카오 api인증용 access token도 redis에 저장하면 될까요?2.#플로우 설명 부분처럼 사용하는게 맞나요?.3. 만약 맞다면 refresh token은 필요없는거 아닌가요? 왜냐하면, access token이 유효하지 않을떄는 어차피 refresh token가지고 카카오에 요청(ccess token 발급)을 날려야 하는건 똑같으니, 그냥 access token유효한지만 확인후 만료시 카카오로부터 refresh,access토큰 발급하는 과정에서 access token만 사용하는게 더 간편하지 않나요?

김을동 · Answer

저같은 경우 외부 Oauth 연동 시 로긴 인증 및 소셜 정보를 저장 하고 서비스(자체) jwt토큰으로 변경합니다.access jwt 만 생성하며 중복로그인 방지 등의 니즈가 있을 때만 별도 저장하고, 클라이언트에서 만료를 관리하다 토큰을 리프레시 처리합니다정답은 없는거 같네요

nubie · Answer

메모리 db는 휘발성 데이터라서 서버에 문제 생기면 모두 사라져 버리는데 괜찮으신가요? access와 refresh를 나누는 이유는 보안 때문입니다 유효기간을 짧게 설정해서 JWT가 혹시 털리더라도 만료 시키게 하고 refresh 시키는 거죠access 토큰은 클라이언트 인증에 사용되므로 서버에서 가지고 있을 필요는 없습니다

카카오 api용 access, refresh token에 대한 질문이 있습니다.

2개의 답변

Q&A 목록