jwt 토큰을 비즈니스 로직에서 사용해도 되는건가요?

Question

안녕하세요. 클릭해 주셔서 감사합니다.저는 react - spring boot로 프로젝트를 진행 중에 있습니다.진행중에 궁금한 내용이 생겨서 질문드립니다.저는 jwt 토큰을 생성할때 사용자의 id값을 넣어서 생성합니다. 이유는 access token으로 사용하고, 요청시 마다 클라이언트로부터 access 토큰을 받아서 깐 다음 나온 계정이 DB에 존재하는지 여부를 판단하기 위함입니다.질문 내용은 아래와 같습니다.클라이언트의 ID를 파라미터로 전달 받는 것이 아니라 jwt 토큰을 서버에서 까서 나온 사용자의 ID를 컨트롤러 단으로 전달해서 비즈니스 로직에 활용하는 건 좋지 않은 방법인가요? 방법은 토큰을 검증하는 Filter에서 request의 setAttribute를 해서 넘길 생각입니다. access 토큰을 받아서 깐 계정을 매번 DB에서 조회하여 받아온 데이터(사용자객체)가 null인지 아닌지로 access 토큰을 정상인지 판단하는데 좀 더 효율적(DB IO를 발생시키지 않는 등)으로 처리 할 수 있는 방법이 있을지 궁금합니다.

르매 · Answer

시그니처가 일치한다면 페이로드는 변조 되지 않은 것으로 취급합니다. 따라서 페이로드에 있는 사용자 ID를 굳이 DB에서 다시 확인하실 이유는 없겠습니다. 애초에 JWT를 쓰는 가장 큰 이유는 서버 부하를 줄이기 위함인데요 이걸 매번 DB에서 확인한다면 JWT를 쓰는 장점이 사라지죠.네, 문제 없습니다. 오히려 파라미터로 전달 받지 않는게 맞겠죠. 상황에 따라 다르지만 로그인한 회원의 회원 ID가 맞는지 검증하기 위해서라도 토큰에 넣은 값을 사용하는게 맞습니다.그렇게 하지 않습니다. 맨 위에 설명한대로 JWT의 시그니처가 맞는 값으로 통과되었다면 페이로드에 있는 회원 ID는 믿고 사용하는게 JWT의 취지입니다. 보안 상의 문제로는 토큰 탈취가 있지만 보통 액세스 토큰의 만료를 짧게 잡고 리프레시 토큰으로 보완합니다. 만약, 이 방식을 보안적으로 신뢰하고 싶지 않다면 JWT가 아니라 서버 기반 토큰 인증을 하는게 맞습니다.

k3po · Answer

spring security 사용하세요. 토큰에 id 뿐 아니라 권한 정보도 넣어서 filter 에서 검증 후 security context 에 저장할 수 있습니다. SecurityConfig 에서 각 endpoint 당 접근권한을 설정할 수 있고, 서비스 단에서 security context 에 저장된 id 정보를 꺼내 쓸 수 있어요.

jwt 토큰을 비즈니스 로직에서 사용해도 되는건가요?

2개의 답변

Q&A 목록