JWT의 만료시간 값을 프론트에서 디코딩해서 쓰는게 맞을까요?

Question

프론트엔드 개발자입니다.이번에 새로 한 서비스 개발을 맡게 되었고, 코드를 보니 로그인 할 때 access Token의 만료시간을 따로 서버에서 내려주지 않는걸 발견했습니다.현재 서비스는 은행 웹사이트처럼 인터벌로 로그인 만료까지 남은 시간을 계속해서 보여주고, '로그인 연장' 버튼을 누르면 헤더에 토큰을 넣어서 서버에 새로운 토큰을 요청합니다. (Refresh Token은 없습니다.)그런데 기존 프론트에서는 인터벌로 표시되는 남은 만료 시간이 서버에서 내려준 토큰 만료시간이 아니라 프론트에서 '30분'으로 하드코딩 해놓은 것을 발견했습니다. (물론 서버에서 토큰 만료 시간은 체크합니다.)그래서 로그인 할 때 서버에서 토큰 만료시간만 JSON에 추가해서 내려줄 수 있겠냐 백엔드 개발자에게 부탁했는데,프론트엔드에서 jwt를 디코딩해서 쓰라는 의견을 들었습니다.굳이 프론트엔드에서 jwt를 디코딩 해야할까요? 이미 JWT payload에 있는 다른값도 따로 새로운 key-value로 생성해서 내려주는게 있는데 서버에서 만료시간을 프론트에 따로 내려주는게 더 효율적이지 않을까요?다른 개발자분들의 의견을 듣고 싶습니다.

공치기정재 · Answer

효율적이라... 옳고 그름을 떠나 작업 효율을 따져본다면 프론트에서 디코딩 하는거죠.1. 프론트에서 디코딩 함- 프론트 개발 추가 함2.백에서 만료시간 내려줌- 백엔드 개발해야함- 어차피 프론트엔드도 코드 수정해야함프론트에서 필요한 정보가 없으면 백엔드에 요청할텐데, 필요한 정보가 이미 있으니까 백엔드 작업자분이 프론트에서 가공해서 쓰라는 취지로 들립니다. 백엔드에서 만료시간을 내려줄경우, api 변경도 있고, 배포도 있고, 테스트도 있고, 그리고 토큰의 만료시간과 백엔드에서 보내는 만료시간이 일치하지 않을 가능성도 있고(정합성 문제) 그냥 프론트에서 디코딩하는게 서로 맘편할듯 하네요

하이열 · Answer

백엔드 성공시 토큰을 생성해서 다시 반환하고 클라이언트에서 api wrapping 해서 해당부분을 함수화 해놓으면 될것 같아요

집킨 · Answer

프론트에서 디코딩하라는 말은 시크릿키를 프론트쪽에서도 들고있어라는 뜻인데백엔드에서 시크릿키를 평문으로 git에 떡하니 올려놨을 가능성 20000% 일듯

케다켁 · Answer

만들어 주는쪽이 필요한 정보도 같이 주는게 맞다고 보여지는데요 ..저는 이렇게 들립니다 20240527 로 보내지말고 2024-05-27 으로 값을 변경해달라는 BE팀이 요청 이 있을때FE 에서 우리가보내준값 잘라서 - 이거 넣어서 쓰세요 라고 답변 하는거랑 비슷하다고 보여지는대요 ? 뭐 배포가 어쩌니 api 변경이 어쩌니 디코딩 하는거 뭐 어렵다고 뭐 그런거 까지 ..작은거 하나 협업이 안되면 FE입장에서도 해줄이유가 없다고 보여지네요.JWT 도 프론트에서 만들기세네....에혀

JWT의 만료시간 값을 프론트에서 디코딩해서 쓰는게 맞을까요?

4개의 답변

기술 목록