vue.js3 세션인증...문제

Question

혼자서 포토폴리오 백이랑 프론트를 따로 개발하고 있었습니다.프론트를 vue.js3 로 만들고 잇었는데..... 이제 백엔드 api 모두 개발하고 프론트를 개발시작했습니다.security&#43;jwt는 아직 공부가 부족하여 session인증으로 먼저 진행하고나중에 취직 후 jwt&#43;security로 리팩토링 할 생각이였습니다.그런데 문제가 생겼습니다.세션값을 Db에 저장하고 ResponseEntity헤더에 쿠키값을 넣어서 프론트로 보냈는데ResponseCookie값을 http-only:true로 하면 쿠키값을 프론트에서 읽을수가 없더라구요....그냥 http-only:false로 하고 진행을 해야하는지 아니면 다른 방법이 있는지 여쭤보고 싶습니다._______________________________________________________________________________________________________________________혼자 더 찾아봤는데 로그인 했을시 성공했을때만(200응답) 상태값을 true로 바꿔서 관리하고다른 권한이있는 행동(글쓰기,수정) 같은걸 axios로 통신 했을때 자동으로 http-only:true된 쿠키값이withCredentials: true로 설정하면 같이 보내지게 처리한다.이렇게 하면 될까요???

내얼굴피콜로 · Answer

세션쿠기에 관해 http-only: false를 하면 XSS공격에 취약해지므로 http-only: true로 진행하셔야 합니다.클라이언트쪽에서 withCredentials: true로 설정하는게 맞고 추가로 크로스오리진(백엔드 프론트엔드 따로)의 경우에는 백엔드에서도 Access-Control-Allow-Credentials 헤더를 true로 설정해야합니다

김을동 · Answer

단순히 로그인후 바디로 응답해도 되지 않을까요?요새 기업들 대부분이? 토큰 방식의 rest를 선호해서 security가 부담된다면 filter로 jwt인증을 단순구현 하는 방법도 있을듯 하네요.

vue.js3 세션인증...문제

2개의 답변

#session 목록