JWT (액세스, 리프레스 토큰) 질문

Question

안녕하세요 JWT에 대해 알아보던중 질문이 생겨서 질문드립니다.EX) 액세스 토큰 유효 기간이 12시간, 리프레쉬 토큰 유효 기간이 7일 (액세스 토큰이 만료되면 리프레쉬 토큰을 통해 재발급)이라면 7일동안 로그인이 유효하다는 것으로 이해를 하였습니다.구글링을 통해 다른 분들이 JWT를 구현하는 과정을 보면 이런식으로 길게 잡고 하시는 것 같은데 너무 로그인이 긴게 아닌지 생각이 들어서 질문드립니다.사용자의 요청이 일정 기간 없을 경우 다시 로그인할 수 있도록 토큰 만료 OR 리프레쉬 토큰 유효 기간을 줄여버림 등의 과정이 필요할 것 같은데 현업에서는 어떤식으로 하는지 궁금합니다.

하루의_spring · Answer

제가 알기론 네이버는 자동 로그인 체크하면 리프레시 토큰이 무한으로 남아있는것으로 알고 있습니다 (캐시 지움 이런거 제외하고)

Henry-77 · Answer

이것은 서비스의 특성 및 보안담당자의 의견에 따라 달라질 수 있는거죠. 특히, 모바일의 등장 이후 타이핑이 불편하니, 반영구적 자동 로그인 유지가 도입된 경향이 있는 것이고요.회사업무 전용일 경우에는 매일 재로그인을 요구하기도 하고요.

양반후반 · Answer

서비스 마다 다르겠지만 보통은 액세스 토큰을 그렇게 길게 안 가져갑니다.한 5분 정도로 짧게 가져가면서 엑세스 토큰 만료로 인한 재발급시 마다 리프레시 토큰의 유효성 체크를 합니다.다중 로그인을 막기 위하여 다른곳에서 로그인을 할때 기존에 발급된 리프레시 토큰을 폐기 처리 하여 액세스 토큰 갱신시에 들고 있는 리프레시 토큰을 사용 못하게 하는게 대표적이죠.물론 이렇게 하기 위해서는 리프레시 토큰은 서버에서 따로 관리가 되어야겠지요.

개발 까마귀 · Answer

로그인이 긴게 어떤 문제 때문인지 이해가 안가네요. 보통 로그인이을 자주하게되면 그만큼 유저 이탈율이 높아집니다. 따라서 토큰을 무한정으로하는데도 있습니다. 그럼 토큰을 탈취하면 그만큼 제3자가 사용할수있는거 아닌가요? 하지만 트레이드 오프가있는거죠 정말 보안적으로 중요한 프로젝트 즉 은행이면 당연히 짧게짧게 가져야하지만 그게 아니면 무한정 가져도 크게 문제없습니다. 즉 상황에 따라서 판단 하면됩니다.

JWT (액세스, 리프레스 토큰) 질문

4개의 답변

기술 목록