accessToken 만료 확인 방법

Question

안녕하십니까 선배님들accessToken과 refreshToken 구현중에 의문점이 생겼는데 해결이 안되서 질문드립니다.accessToken이 만료되었을때 필터에서 걸러져 403 응답을 내리면 refreshToken을 요청하는 로직으로 가려했다가토큰이 만료됬을때 뿐만 아니라 forbidden도 403 응답인 것이 생각나서 어떻게 검증해야될 지 답을 모르겠습니다.토큰이 만료되었을때의 403에러와 다른 이유로 인한 403에러를 구분하는 방법이 있을까요?

안 드루이드 · Answer

jwt의 내용 base64로 인코딩 되어 있어 누구나 열람이 가능합니다. 따라서 민감한 정보를 jwt에 담아선 안 됩니다. 토큰의 만료 기간 또한 포함되어 있기 때문에 클라쪽에서도 만료를 확인할 수 있어요. 서버에서는 무결성을 확인합니다.

하루의_spring · Answer

JWT 토큰을 검증할시 Exception 에 만료로 인한 Exception 이 있고 토큰이 무결성으로 인한 Exception 이 따로 있습니다 전자라면 refreshToken 으로 발급하는 로직을 구현하면되고 그게 아니면 그대로 403 으로 return 하시면됩니다

chytonpide · Answer

카카오 인증 API 보면 accessToken 을 발행 할때 accessToken 의 유효시간도 같이 돌려 줍니다.클라이언트에서는 보통 유효시간이 지나기전에 refreshToken 을 사용 해서 토큰을 재발행합니다. 또는, 서버에서 403 이 리턴되었을 때(response Interceptor 같은걸 사용), 딱 한번만 refreshToken 을 사용한 토큰 재발행을 시도하는 방법도 있습니다.근데 이 방법은 정상적으로 API 를 사용하다가 우연히 인증이 만료된것을 알게되는 것 임으로,토큰을 갱신한다음 원래 하려고했던 요청을 다시 실행해야함으로 구현이 꽤 까다로워 질 수도 있습니다. 어떤 수준까지 구현할지는 알 수 없으나, 공부나 사이드 프로젝트 같으면 setInterval 같은 함수를 사용해서 정기적으로 토큰을 갱신하는게 좋아보입니다.실제로 프러덕트를 구현하는거라면 react-auth-kit 같은 라이브러리를 사용하는걸 추천드립니다.

accessToken 만료 확인 방법

3개의 답변

#accesstoken 목록