JWT 사용자별 권한 관련 질문드립니다.

Question

현재 스프링 부트를 사용중입니다.사용자 로그인시 세션에 사용자 구분값과 url별 권한을 저장하고 페이지 이동이나 데이터 요청시 세션 값에서 권한을 확인 후 처리하고 있습니다.페이지는 대략 80페이지 이상 &#61;> get 데이터 요청받는 api는 200개가 넘어가는데요 &#61;> postget으로 접근하는 경우, 페이지별 보여지는게 달라지는 경우도 있어서 1. 접근 불가 2. 접근 가능, 일부 데이터 못 조회불가 3. 접근 가능, 모든 데이터 조회가능 ... 이런식으로 구분되어있고 post로 접근할때는 단순히 그 페이지에 권한이 있냐/없냐고 구분합니다외부에 공개가 되긴해지만, 로그인하지 않으면 다른 페이지는 못 보는 구조로 되어있고 사용자들은 전부 회사내 직원들입니다. 현재는 일부만 사용하고 있으나, 점점 커지고 회사 외부자도 쓸 수 있는 시나리오가 예정되어있습니다.여튼, 세션을 최소화하기 위해 jwt를 도입하려고 하는데요 제가 멈칫한게.. jwt에 페이지별 권한 정보를 다 넣는게 맞는가? 입니다 그렇다고 jwt에 페이지별 권한 정보를 안넣으면 get/post시 매번 db에 접속해서 권한을 가져오는건가 싶기도하고.. 세션에 데이터를 두고 jwt와 대조해서 권한을 확인한다면 jwt를 쓸 필요가 있나 싶기도하고.. 이러고 있습니다-_-;제가 생각하는 방식이 잘못된건지 궁금하고.. 다른분들은 이런 경우 어떻게 조치하시는지 궁금합니다.

개발잡부 · Answer

저희회사에서는 매번 DB에서 가져옵니다백오피스 사용자가 몇명 없거든요.. ㅋㅋ

smokingcat · Answer

인증가 인가를 JWT에 모두 의존하는 것 보단서비스에 접근할 수 있음을 JWT로 표현하고 디테일한 데이터는 JWT를 바탕으로 DB에서 끌어오세요

킁킁탐정 · Answer

JWT에 권한을 담게 되면 문제가 많습니다. 가장 먼저 떠오르는건 특정 페이지의 읽기 권한이 변경되면 연관된 토큰은 모두 재발행해야합니다.더 큰 문제는 다양한 권한을 가진 토큰을 발행하게되면 일종의 토큰 파편화가 발생합니다. 어느날보니 실제로 사라진 권한일 수도 있고, 또 어떤 토큰의 값은 원래 읽기 전용인데 지금은 읽기 쓰기로 바뀐 상태이거나 등등 많은 문제가 발생할 소지가 있습니다.차라리 세션으로 매번 DB를 오고가는게 유지보수, 보안, 관리에 훨씬 더 효율적이라고 생각됩니다.

wharup · Answer

밑에 처럼 정보를 나눴을 때요1. 사용자의 권한 관련 정보: 사용자 ID, 역할 목록 등2. 시스템의 권한/리소스 매핑: ID나 Role별로 접근 가능한 페이지/API 매핑JWT에는 1번만 들어가는게 맞습니다. 2번은 시스템이 가지고 있는데, 트래픽이 적으면 매번 DB에서 읽으면 되고, 트래픽이 많으면 로컬/분산 캐시 등을 활용하면 됩니다.그리고 JWT에 역할 목록을 저장한다면 JWS(JSON Web Signature) 대신 JWE(JSON Web Encryption)을 사용해서 남들이 볼 수 없게해야 합니다.참고로, 세션 저장소로 Redis 같은 분산 캐시를 많이 사용하기 때문에, 세션을 사용하면 1번 2번 모두 세션에 둔다고 말할 수 있겠네요.

Clickin · Answer

JWT에 권한 정보를 다 넣어놓으면 salt 탈취되었을 때 대응할 방도가 많지 않겠죠사용자 등급 변경도 매번 재발급해줘야하는 경직된 구조로 가져가야하고요근본적으로 로그인이던 뭐던 클라에서 주는 걸 그대로 사용하면 안되고 백엔드에서 검증이 필요하다는 연장선에서 사용자 key 정도만 가져가는게 좋다고 봅니다.

JWT 사용자별 권한 관련 질문드립니다.

5개의 답변

Q&A 목록