jwt 토큰 사용시 회원탈퇴? 다중로그인 관련 질문있습니다

Question

안녕하세요 jwt토큰 이용해서 웹사이트 만들어보고 있는데 다중로그인이나 탈퇴 관련해서 궁금한 점이 생겼습니다.제가 생각한 부분으로는, (다중 로그인 되도록 만들었을때)jwt토큰 사용시 로그아웃 등으로 리프레시 토큰 삭제 or 리프레시 토큰 블랙리스트 등록..은 가능한데만약에 다중로그인으로 구성했을 경우에요리프레시 토큰의 사용을 막는다고 해서 '기간이 남아있는' 액세스 토큰을 즉시 불가능하게 처리하는 건 불가능하다. 이게 맞을까요? 제가 미숙해서 잘못 생각하는건지 궁금합니다A 디바이스에서 로그인하고 B 디바이스에서 로그인 A 디바이스에서 회원탈퇴하며 리프레시 토큰 삭제이때도 B디바이스에 있던 액세스 토큰은 유지되고 있고, 이 액세스 토큰의 만료기간이 남았다면B디바이스에서 다시 서버로 요청을 보냈을 때 정상 응답을 반환하는 거 아닌가...? 하는 생각이 들었습니다.B의 액세스 토큰이 만료된다면 그 이후에야 토큰 재발급이 안 되겠지만, 유지되는 동안에는 어떻게 하나... 고민이 되더라고요이런 부분을 고려하고 싶다면 세션을 쓰는 쪽이 더 좋을까요?

팩트폭행범 · Answer

회원탈퇴를 감지 해야한다면 토큰 유효성 판단 전에 로직을 하나 넣어야하지 않을까 싶습니다

초무쿤 · Answer

JWT 자체만으로(사실 인증토큰 부류들)는만료기간 안에 다중로그인 자체는 힘들겁니다.예전 비슷한 문제가 있었는데..(토큰 기반 인증)claim에 remote ip 등을 넣어도 네트워크 환경에 따라 문제가 발생하는 케이스가 많아서그냥 성능상 조금 손해를 보고 토큰 만료기간을 조금 짧게 두어서 적당히 쇼부를 친적이..(윗분 말씀대로 유효성 판단 로직을 만들어서 넣을수도 있지만.. 그런 구조가 아닌 시스템이라..)

개발은내일부터 · Answer

A 디바이스에서 로그인하고 B 디바이스에서 로그인A 디바이스에서 회원탈퇴하며 리프레시 토큰 삭제이때도 B디바이스에 있던 액세스 토큰은 유지되고 있고, 이 액세스 토큰의 만료기간이 남았다면B디바이스에서 다시 서버로 요청을 보냈을 때 정상 응답을 반환하는 거 아닌가...? 하는 생각이 들었습니다.저도 그런 문제가 있어서 redis 캐시 디비로 해결했던 경험이 있네요. 1. 로그인시 jwt 인증 토큰을 redis 캐시 디비에 저장을 합니다. 2. jwt 인증시 redis 조회 조건을 추가합니다. 3. 회원 탈퇴시 redis 에 있는 토큰을 삭제합니다.4. 다른곳에서 로그인시 redis에 토큰이 없으므로 로그인이 불가합니다.

감독님테스트가하고싶어요 · Answer

B디바이스 요청 시 필터나 인터셉터에서 검증해서 탈퇴한 회원이면 토큰만료시키고 튕겨버리면 될 것 같네요.그럼 B디바이스에 남아있는 토큰 유효기간이 매우 길더라도 상관없지않을까요?

카카오콘 · Answer

이런 경우 어쩔 수 없이 DB / RADIS 등을 이용해 Stateful 하도록 사용할 수 밖에 없습니다.

단호박카레 · Answer

감사합니다!

jwt 토큰 사용시 회원탈퇴? 다중로그인 관련 질문있습니다

6개의 답변

기술 목록