시큐리티를 사용해 로그인 여부를 활용했는데 Jwt 토큰으로 바꾸면 어떻게 활용해야 할지 궁금합니다

Question

스프링 시큐리티를 활용해서 로그인 회원가입 로그아웃이런식으로 로그인 여부를 확인했었는데 Jwt 토큰으로 바꾸게 되면서 시큐리티 세션을 비활성화 했습니다. JWT 토큰은 무상태성의 특징을 가지고 있는데 그러면 사용자 상태를 가지고 와서 로그인 여부를 확인할려면 결국 세션을 사용해야 하는지 머리가 안돌아가서 조언을 얻고 싶습니다

슈퍼복붙러 · Answer

특별한 이유가 없으시다면 세션을 사용하시는 게 낫습니다. 웹은 다른 플랫폼과 달리 사용자가 URL을 입력해서 직접 라우팅이 가능하기 때문에 세션 없이 보안 처리하는게 어렵습니다.

llIll · Answer

브라우저에서 api 요청시 헤더에 jwt 엑세스 토큰을 담으면 서버 필터단에서 엑세스 토큰의 유효성을 검사하여 인가 처리를 합니다. 이때 인가 처리 부분에서 스프링 시큐리티 context에 사용자 인증 정보를 저장합니다. 즉 api를 요청 할 때마다 헤더의 토큰을 검사하고 유효하다면 시큐리티 context에 저장함으로써 기존의 세션방식과 똑같이 시큐리티 기능을 이용할 수 있습니다.

카카오콘 · Answer

&#34;로그인 여부&#34; 라는 개념을 명확히 해주시는게 좋을 듯 합니다.기본적으로 &#34;토큰이 있다&#34; 라는건 &#34;로그인 했다&#34; 라고 간주하는게 일반적입니다.&#34;로그아웃 했다&#34; 라는 개념은 사용자 저장소에서 해당 토큰을 삭제하는정도에 그치구요.그렇다면 &#34;실제로는 로그아웃 된거라던가 토큰을 못쓴다던가 그런게 아니잖아요?&#34; 라고 하실 수 있는데네 맞습니다. 그것이 JWT의 무상태성이니까요.그래서 유효시간 전략 등을 잘 계획 해야하는거고, 그래도 상관없는 시스템 인지가 중요한 부분입니다.

시큐리티를 사용해 로그인 여부를 활용했는데 Jwt 토큰으로 바꾸면 어떻게 활용해야 할지 궁금합니다

3개의 답변

Q&A 목록