jwt 로직에 대한 고민입니다. 여러분들의 생각은 어떠십니까 ?!

Question

jwt 로직에 대한 고민입니다. 여러분들의 생각은 어떠십니까 ?!안녕하세요 이번 프로젝트를 맞으면서 frontend 는 next.js // backend는 express 서버로 개발을 진행 중입니다.개발하다보니 jwt 에 대한 로직을 좀 완전 빠삭하게 이해하고 있는게 아니다 보니까 지금 구현되어 있는 로직이 맞는지 의문이 가서 질문을 남겨 여러분들의 의견도 듣고싶습니다!지금의 jwt 로직은 아래와 같습니다.로그인하면 backend 에서 accessToken, refreshToken 발급하여 accessToken만 frontend 로 response 를 보냄, 그리고 refreshToken은 db에 저장유저가 사용하다 accessToken을 만료되는 것을 방지하여 backend의 요청을 받는 action 전부 실행 하기 전, aceessToken과 backend DB에 있는 refreshToken 값을 확인하고 다시 accessToken을 재발급 함, 그리고 accessToken을 반환해주고, frontend에서는 다시 action 요청을 함.일단 위 로직의 문제점은 action을 실행할때 마다 db의 사용량이 많아져서 단점이긴하지만, 보통어떻게 하나요? 훈수 부탁드립니다.아 그리고 마지막으로 원래 사람들이 많이 사용하는 로직은 로그인할때 accessToken과 refreshToken을 같이 보낸다고 하던데 그렇게 되면 accessToken도 탈취를 하면 refreshToken도 탈취가 가능하지 않나요 ?

집킨 · Answer

그럴때 레디스쓰면 됩니다

kotliner · Answer

유저가 사용하다 accessToken을 만료되는 것을 방지하여 backend의 요청을 받는 action 전부 실행 하기 전, aceessToken과 backend DB에 있는 refreshToken 값을 확인하고 다시 accessToken을 재발급 함, 그리고 accessToken을 반환해주고, frontend에서는 다시 action 요청을 함.JWT자체가 DB를 거치지 않더라도 서명검증이 가능하므로 만료여부를 매번 db를 안가고 그냥 검증만 해도 됩니다. 특정 jwt만 미리 만료시키는 경우만 따로 고려해두면 됩니다.아 그리고 마지막으로 원래 사람들이 많이 사용하는 로직은 로그인할때 accessToken과 refreshToken을 같이 보낸다고 하던데 그렇게 되면 accessToken도 탈취를 하면 refreshToken도 탈취가 가능하지 않나요 ? 보통 보안에서는 민감한 정보일수록 노출빈도를 줄여서 통신구간 탈취를 줄이려고 합니다. 만약에 통신구간에서 accessToken이 탈취되어도 유효기간동안만 쓰고 계속 사용되는 불상사를 줄이려고 하는거죠. 운나쁘게 탈취된 시점이 refreshToken도 주고받는 시점이라면 의미가 없어집니다. 다만 이건 예전에 http 시절이나 고려하던거고 ssl만 잘 적용되어있다면 크게 고려하지 않아도 되는 문제이긴 합니다.

jwt 로직에 대한 고민입니다. 여러분들의 생각은 어떠십니까 ?!

2개의 답변

Q&A 목록