토큰 재발급 과정에서 만료된 토큰의 payload 반환을 해도 될까요?

Question

안녕하세요. 긴 글 읽어주셔서 감사합니다.토큰 재발급 과정 중 궁금한 것이 생겨 질문 남깁니다.redis에 저장되어 있는 것 : [key] 사용자 id, [value] refresh 토큰access 토큰 발급시 payload에 사용자 id, refresh 토큰 발급 시 payload에 아무것도 담지 않습니다.access토큰 유효성 검증 -> 유효 -> Oaccess토큰 유효성 검증 -> 유효X -> redis에서 사용자 id에 해당하는 refresh토큰 찾음 -> 유효성 검증 -> 유효O -> 재발급여기서 질문드릴 것은 access토큰이 유효하지 않을 경우입니다.사용자 id를 찾기 위해 만료된 access토큰의 payload를 반환하여도 될까요?'만료'된 토큰을 이용하는 것이 과연 올바른 행동일까 의문이 들어 질문 남깁니다.

charlatan · Answer

액세스 토큰에 대한 정보를 조회해서 만료되었으면 그 액세스 토큰에 대한 리프레시 토큰으로 액세스 토큰을 재발급하면 됩니다. 그리고 리프레시 토큰을 찾은 다음에 그 유효성을 또 검증한다는 것도 이상하네요. 어떻게 검증한다는 건가요?

양반후반 · Answer

액세스 토큰이 유효하지 않다면 인증 실패를 반환하면 됩니다. 하나의 프로세스에서 재발급까지 할 필요 없습니다.프론트에서 인증 실패시에 리프레시 토큰으로 액세스토큰 재발급 요청을 하시면 되는겁니다.리프레시 토큰의 유효성 검사는 이때 하는거죠.

토큰 재발급 과정에서 만료된 토큰의 payload 반환을 해도 될까요?

2개의 답변

#refreshtoken 목록