token, refresh token을 사용한 jwt 인증방식을 사용하는 경우 사용자의 action이 없는 경우.

Question

프론트 엔드 개발에 익숙하지 못합니다. token과 refresh token을 사용하는 경우 브라우져의 사용자 action이 없는 경우 다시 로그인하도록 하는 것을 어떻게 구현해야 할지 감이 잘 안 잡힙니다. 제가 생각한 건 아래와 같습니다. 실무에서 문제가 되는 부분이 있으면 조언 부탁드립니다. 로그인 절차1. 사용자가 로그인을 합니다.2. access token과 refresh token을 발급받습니다. 3. 이때 서버에서는 access token은 5분, refresh token은 30분정도로 발급합니다. acess token의 만료시간을 5분으로 한 이유는 사용자가 브라우져를 통한 추가 action을 하지 않아도 다음 action을 할수 있게 함입니다. refresh token을 30분 정도로 한 이유는 사용자가 브라우져를 통한 추가 action이 없는 경우 다음 action을 할수 없게 함입니다.4. 브라우져 스토리지에 이를 저장합니다.사용자가 5분을 초과하여 action을 취하지 않고 6분이 되어 action을 취한 경우1. 브라우져는 refresh token을 이용하여 새로운 access token을 발급받고 refresh token도 발급받습니다.2. 브라우져는 refresh token의 만료기간이 24분 남았기 때문에 새로운 access token과 refresh token을 서버에 요청합니다.3. 브라우져는 응답받은 accss token과 refresh token을 브라우져 스토리지에 저장하고 이를 이용합니다.사용자가 30분이상을 초과하여 action을 취하지 않고 31분이 되어 action을 취한 경우1. 브라우져는 서버에 refresh token을 이용하여 새로운 access token을 발급요청합니다.2. 서버를 refresh token이 유효하지 않은 것을 확인하고 login페이지로 redirect합니다.위의 절차대로 하면 될것 같은 생각이 드는데, 일반적으로 refresh token의 만료기간은 사용자의 Action이 없어 timeout시키는 기간보다 길게 잡는것으로 알고 있습니다.OAuth2를 사용하여 Token을 인증서버로 부터 발급받은 경우도 일반적으로 refresh token의 만료 기간은 Action이 없어 timeout시키는 기간보다 길게 잡는것으로 알고 있습니다.일반적으로 이런 시나리오를 만족시키기 위해서 어떤 방식으로 구현을 할까요?

개발잡부 · Answer

사용자의 timeout에 따라 로그아웃을 시키고싶으면 세션인증 방식이 낫습니다refreshtoken은 엑세스 토큰이 탈취되어 재사용될 가능성에 대한 보안조치로엑세스 토큰을 짧게(그래서 탈취당해도 재사용하지 못하게)리프레쉬 토큰른 길~게(엑세스토큰 기간 만료시 재발급 목적)그래서 리프레쉬토큰은 보통 30분 단위가 아니라 n일 단위로 길게 잡습니다심지어 어플리케이션의경우 만료시간을 무제한으로 놓는경우도...

token, refresh token을 사용한 jwt 인증방식을 사용하는 경우 사용자의 action이 없는 경우.

1개의 답변

Q&A 목록