JWT 로그아웃 관련 질문 입니다.

Question

JWT 를 사용하여 로그인 기능을 구현 하였습니다.저같은 경우에는 로그인시 에세스토큰과 리플레시 토큰을 생성해서 사용중이 mysql 테이블에 저장을하고토큰 두개를 반환하면 프론트(리엑트) 에서 세션 스토리지에 저장해서 에세스 토큰으로 통신하다가 만료가 되면리플레시를 요청하고 리플레시를 보내서 데이터베이스에서 유효시간과 변형이 되지 않은것을 확인하면다시 에세스 토큰을 발급하는 시스템으로 구현을 했는데요이때 에세스 토큰은 30분 리플레시 토큰은 8시간을 주고 개발 하였습니다.그런데 생각해보니 로그아웃을 구현 안했더라고요프론트에서는 로그아웃하면 세션스토리지를 날려버리면 끝인데RestAPI라 데이터만 주고 받으면 되는 형식이라 딱이 제가 받는게 없다는겨죠그렇게 로그아웃을 찾아 보다가 다른분들은 Redis를 사용하여 리플레시 토큰을 입력받은 아이디를 key로 저장한후에에세스를 발급하고 로그아웃하면 그토큰을 블랙리스트로 만들더군요 만료시간후에 자동 삭제되게 설정도 하는거 같아요이게 어느 방향으로 개발하는게 맞는지 도통 모르겠습니다.로그아웃 할때마다 리플레시를 무효화 시키고 로그인할 때 새로 생성해서 저장하는게 맞는지로그아웃해도 데이터베이스에 리플레시 유효기간이 남아 있다면 그것을 계속 사용하는게 맞는건지 어느 글들을 보면 리플레시를 7일 한달도 주는 경우가 있더라구요... 그래서 잘 모르겠습니다.로그인 -> 에세스,리플레시토큰 발급 -> 프론트 세션스토리지 저장 -> 에세스로 통신 -> 만료되면 리플레시 요청 -> 프론트에서 리플레시 통신 -> 데이터 베이스 확인후 유효검사후 에세스 다시 발급 -> 재로그인시 유효시간이 남으면 기존의 리플레시 토큰 사용로그인 -> 에세스,리플레시토큰 발급 -> ........ -> 로그아웃시 Redis에 블랙리스트로 저장 -> 블랙리스트 접근불가 ->다시로그인시 리플레시 새로발급실무에서는 어떻게들 관리하시는지 알려주시면 감사하겠습니다.

kenu,전독시 · Answer

jwt 사용하는 오픈 소스 참고하면 되지 않을까요?velog 라든가https://www.google.com/search?q&#61;velog&#43;github

kenu,전독시 · Answer

저는 refreshToken expired는 30일로 설정하고 운영한 경험이 있었습니다.

カワウソ · Answer

토큰 기반 인증에서 만료 기한이 길거나 무기한인 것은 시스템 요구사항에 따라 다르겠지만 일반적인 사용자 로그인의 목적이 아닌 외부 연동을 위해 제공하죠.깃허브의 토큰이 JWT는 아니지만 만료 기한을 선택할 수 있는 것과 같아요. 웹 로그인 시 만료 기한을 짧게 하는 건 권고 사항이지만 정책을 만들고 결정하시면 됩니다.

인딥개발자 · Answer

보통 토큰을 redis에 많이 사용합니다. 그 이유는 redis가 인메모리 기반 데이터 저장소여서 짧은 액세스토큰 특성상 리프레시토큰이 자주 read되는데 이때 빠른 조회라는 장점이 있죠.이미 rdb에 저장하셨으니 로그아웃을 진행할 때 로그아웃 api를 따로 두는 건 어떨까요?액세스 토큰으로 유저 정보 꺼낸다음에 그 유저에 맞는 리프레쉬 토큰 삭제하시는 게 좋다고 생각하네요결국 리프레쉬도 보안이 중요한데 이걸 로그인 할 때 재사용 하는 건 안좋다고 생각합니다.로그인마다 새로 발급하는 게 좋아보여요

wharup · Answer

매번 로그인, 로그아웃하는 시스템은 토큰을 재활용하면 안됩니다. 로그인 마다 새로 토큰을 발급하시면 됩니다.토큰의 만기 시간과 리프레시 토큰 등은 남이 대신 인증해주거나 장비 처럼 로그인/로그아웃 없는 경우에 발급한 토큰이 무한정 사용되지 않게 하는 목적이라고 보면 됩니다.참고로 리프레시 토큰은 프론트앤드로 보내면 안됩니다. 리프레시 토큰이 탈취당하는 것을 막을 수가 없어요. 남이 인증해줄 때 우리 서버가 직접 가져와서 안전하게 저장해야합니다. 그래서 OAuth2에서 Implicit Grant 타입은 리프레시 토큰을 사용하지 않습니다.

JWT 로그아웃 관련 질문 입니다.

5개의 답변

Q&A 목록