스프링 시큐리티 jwt 리플레시 토큰 저장

Question

사수가 없는 상태에서 블로그 글들을 보고 어떻게 어떻게 jwt 토큰 발행까지 해냈습니다.1차 로그인 하면 아이디 비밀번호를 받고 아이디로 검증후 토큰을 발급해서 웹페이지로 전달했는데요블로그에는 그 추후의 로직에 대한 설명을 찾기가 어렵더라구요 ㅠJwtTokenProvider 클래스에서 generateToken 메서드에서 에세스 토큰과 리플레시 토큰을 생성하는데 이때 데이터베이스에 이미 있는지 검사하고 저장하는건지?JwtAuthenticationFilter클래스에서 doFilter 메서드에서 저장하는지 그런데 이부분은 저같은 경우에는 GenericFilterBean 을 상속 받았는데 이런 방법을 사용하는 예시 에서는 UsernamePasswordAuthenticationFilter 을 상속받아서 사용하더라구요지금 막힌 부분이 토큰이 DB에 저장을 어디서 하는지 그리고 아직 토큰유효가 끝나면 리플레시 토큰 요청과 검증후 에세스 재발급 이 남아 있습니다.어떤 흐름으로 풀어야하는지 알려주세요 ㅠ

짱구올시다 · Answer

구현하기 나름입니다만, 리플레쉬 토큰을 가지고 액세스 토큰을 갱신하는 요청에 대해서는 리플레쉬는 매번 갱신해주는게 맞겠죠.필터를 구현하는 방법은 여러가지인데, 말씀하신 것처럼 GenericFilterBean을 상속해서 구현하셔도 되고, 스프링 시큐리티에서 제공해주는 UsernamePasswordAuthenticationFilter를 상속해서 구현하셔도 되고 어차피 상관 없습니다.이 흐름 어디에서 어떻게 막힌 것인지 말씀해주시면 추가 답변해드릴게요.

Bluebell · Answer

구현하기 나름이나, 보통은 엑세스토큰과 리프레시 토큰에 찍혀있는 id를 비교해서 엑세스 토큰을 비교합니다. 이때, redis나 db를 이용할텐데, jpa를 이용한다고 가정하면 Member member &#61; memberRepository.findById(idByAccessToken) 이런식으로 해서 존재하면 acesstoken이 유효한거겠죠?. 시큐리티의 CustomUserDetail 같은걸쓰면 customUserDetail .getRefeshtoken해서 jpa 결과와 일치하는 로직까지 하면 초중급단계에선 완벽하다고 하네요후자가 편하긴 합니다. 후자는 세션관리까지 알아서 해주니까여. securityholder까지 해서 인증되면 세션에 애 토큰으로 들어왔어요하면 쉽게 백에서도 Authentication 클래스 등을 통해 권한이나 현재 로그인 여부 등을 쉽게 체크 가능하겠져. 물론 제네럴필터빈 쓴다고 안 되는건 아니지만요.1,2번에 설명 다했습니다만. 추가로 토큰할때 아이디를 uuid로 하시는게 좋습니다. 그래야 털려도 uuid만 털리는꼴이니까요. 실제 시큐리티는 이메일이나 아이디면 아무래도 member(DTO).getUuid 느낌으로 이용하겠죠?

스프링 시큐리티 jwt 리플레시 토큰 저장

2개의 답변

#refreshtoken 목록