Refresh Token Rotation에 관한 질문

Question

Refresh Token Rotation을 사용한 AT 재발급 로직에 대한 의견 부탁드립니다!AT를 재발급하는 /token/refresh 엔드포인트를 만들고 해당 요청의 헤더에 AT, RT를 반드시 전달하도록 Valid 추가AT를 재발급받기 위한 조건은 다음과 같다.AT, RT의 유효성 모두 검증되어야한다.AT는 만료되어야 하고, RT는 만료되면 안된다.이렇게 AT, RT를 모두 검증하는 이유는 공격자 입장에서 첫 토큰 탈취 시 AT, RT를 모두 탈취해야하기 때문에 좀 더 까다로울 것 같다고 생각했습니다.재발급 검증에 성공하면 AT, RT를 모두 재생성해서 Response Body에 담아 전달생성된 RT는 기존 RT의 만료시간을 그대로 사용 ⇒ 만약 기존 RT의 만료가 3일 남았다면 재발급한 RT의 만료시간도 3일사용자 입장에서는 기존 로그인 주기를 그대로 경험하는 것과 같음이렇게 Refresh Token Rotation을 구현하려하는데 어떻게 생각하시나요?모든 피드백 환영합니다^^

마늘냄새폴폴 · Answer

제 생각엔 엔드포인트를 만드는 것 보단 Filter를 만드는 것이 더 좋지 않을까하는 생각입니다. 저는 JWT를 이렇게 구성했어요. 필터에서 AT를 검증AT가 만료되면 RT를 검증 AT 재발급AT도 RT도 만료된다면 사용자에게 다시 로그인하라고 유도다시 로그인하면 AT와 RT를 다시 재발급이때 AT는 쿠키에 저장하고 RT는 Redis에 저장했습니다. 만약 이렇게 설계한다면 AT가 만료되었을 때 Redis에서 RT를 조회하는 로직이 추가되어야 하기 때문에 로그인 시 세션을 하나 만들어서 이 세션을 같이 Redis에 저장하고 세션ID로 Redis에서 조회했습니다. 아니면 요청 헤더인 Authorization 헤더에 AT와 RT를 모두 담고 헤더를 검증하면서 서버 내부적으로 stateless하게 구현하는 방법도 있습니다. Redis에서 RT를 검증하는 방식은 stateful하기 때문에 이 방법도 나름 합리적이라고 생각합니다. 그것도 아니라면 Authorization 헤더에 AT와 RT를 검증하면서 stateless하게 검증하는 방식과 Redis를 이용해 stateful하게 검증하는 방식을 동시에 사용하면 Redis에 장애가 발생했을 때 문제를 완화시켜주는 효과도 있다고 들었습니다.

Refresh Token Rotation에 관한 질문

1개의 답변

#refreshtoken 목록