스프링부트 - 리액트 Jwt 만료 관리

Question

jwt 발급시 유효시간은 3시간으로 설정클라이언트는 jwt를 쿠키에 유효시간4시간으로 저장*쿠키 유효시간을 더 길게 설정한이유 - 페이지 이동시마다 JwtCheck 요청을 보내어 만료,위조된 토큰의 경우 403 반환 - 403인 경우 클라이언트 측에서 로그인 페이지로 쿠키 삭제 후 이동 이때 문제점이 페이지 이동을 하는 요청이 아닌 요청을 서버로 보내는 경우인데페이지가 새로고침 되지 않아 아직 쿠키에 jwt 남아있어 오류발생위 경우를 해결하기 위해서는 서버로 보내는 모든 api에 예외처리를 하는 방법 밖에 없을까요?const response &#61; fetch( url );if(!response.ok) navigate(“/Login”)서버의 jwt 검증하는 부분 필터입니다 react와 spring boot를 같은 프로젝트에서 사용해서 그런지 reirect요청이 보내지긴 하지만 무한 루프에 빠져요

하루의_spring · Answer

단순 페이지 이동 뿐만 아니라 모든 요청에 토큰을 검증하는게 좋습니다 물론 그렇게 안하신 이유가 있으실꺼 같은데

하루의_spring · Answer

만료된 토큰은 저는 이렇게 처리합니다 RSASSAVerifier rsassaVerifier = new RSASSAVerifier((RSAKey) jwk.toPublicJWK()); SignedJWT access_token_signedJWT = SignedJWT.parse(accessToken); boolean access_verify = access_token_signedJWT.verify(rsassaVerifier); if(!access_verify){ throw new SignatureException("잘못된 서명입니다.");} 먼저 Verifier 로 서명을 검증할 객체를 먼저 만들어 두세요 저는 RSA 방식으로 비대칭키로 토큰을 만들었습니다그리고 그 검증이 실패하면 예외를 던지고 예외에서는 401 로 response 를 하게 됩니다 public class CustomJwtAuthenticationFilter extends OncePerRequestFilter { private CustomJWTParser jwtParser; private JWK jwk; private JWTGenerator jwtGenerator; private Gson gson; private Long access_tokenExpireTime; private RedisRepository redisRepository; private String return_product_mode; public CustomJwtAuthenticationFilter(CustomJWTParser jwtParser , JWK jwk , JWTGenerator jwtGenerator , Gson gson , RedisRepository redisRepository , Long access_tokenExpireTime , String return_product_mode) { this.jwtParser = jwtParser; this.jwk = jwk; this.jwtGenerator = jwtGenerator; this.gson = gson; this.redisRepository = redisRepository; this.access_tokenExpireTime = access_tokenExpireTime; this.return_product_mode = return_product_mode; } private static final String[] ALLOW_URL = { "/user/register" , "/user/login" , "/oauth2/google/oauth2_login_address" , "/oauth2_google_login" , "/oauth2/naver/oauth2_login_address" , "/oauth2_naver_login" ,"/favicon.ico" }; @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { String authorizationHeader = request.getHeader("Authorization"); String authorizationHeader_refresh = request.getHeader("Authorization_Refresh"); final String url = request.getRequestURI(); String method = request.getMethod(); List allow_url_matcher = Arrays.stream(ALLOW_URL).filter(x -> url.equals(x)).collect(Collectors.toList()); if (allow_url_matcher.size() > 0 || "OPTIONS".equals(method.toUpperCase())) { filterChain.doFilter(request, response); } else { if (authorizationHeader != null && authorizationHeader.startsWith("Bearer ") && authorizationHeader_refresh != null && authorizationHeader_refresh.startsWith("Bearer ")) { String accessToken = authorizationHeader.substring(7); // "Bearer " 다음의 값만 추출 access_token String refreshToken = authorizationHeader_refresh.substring(7); // "Bearer " 다음의 값만 추출 refresh_token try { RSASSAVerifier rsassaVerifier = new RSASSAVerifier((RSAKey) jwk.toPublicJWK()); SignedJWT access_token_signedJWT = SignedJWT.parse(accessToken); boolean access_verify = access_token_signedJWT.verify(rsassaVerifier); Authentication authentication = null; if(!access_verify){ throw new SignatureException("잘못된 서명입니다."); } JWTClaimsSet access_token_jwtClaimsSet = access_token_signedJWT.getJWTClaimsSet(); Date jwt_access_token_expire_time = access_token_jwtClaimsSet.getExpirationTime(); Date today = new Date(); Date today_add_expire_time = new Date(today.getTime()); if(jwt_access_token_expire_time.getTime() <= today_add_expire_time.getTime()){ SignedJWT refresh_token_signedJWT = SignedJWT.parse(refreshToken); boolean refresh_token_verify = refresh_token_signedJWT.verify(rsassaVerifier); if(!refresh_token_verify){ throw new SignatureException("잘못된 서명입니다."); } JWTClaimsSet refresh_token_jwtClaimsSet = refresh_token_signedJWT.getJWTClaimsSet(); Date jwt_refresh_token_expire_time = refresh_token_jwtClaimsSet.getExpirationTime(); if(jwt_refresh_token_expire_time.getTime() <= today_add_expire_time.getTime()){ throw new RuntimeException("시간이 만료된 토큰입니다."); } String saved_refresh_token_authentication = redisRepository.select_redis_data(refreshToken).toString(); if("Y".equals(return_product_mode)){ boolean is_del_token = redisRepository.delete_redis_data(refreshToken); log.info("{}" , is_del_token); }else{ boolean is_expired_token = redisRepository.expire_redis_data(refreshToken , 30 , TimeUnit.SECONDS); log.info("{}" , is_expired_token); } AuthenticationDto refresh_authentication = gson.fromJson(saved_refresh_token_authentication , AuthenticationDto.class); List array_authority = refresh_authentication.getAuthorities().stream().map(x -> new SimpleGrantedAuthority(x.get("role").toString())).collect(Collectors.toList()); authentication = new UsernamePasswordAuthenticationToken(refresh_authentication.getPrincipal() , refresh_authentication.getCredentials() , array_authority); Map result_token = jwtGenerator.jwtGenerator(authentication , jwk); response.setHeader("Authorization" , "Bearer " + result_token.get("ACCESS_TOKEN")); response.setHeader("Authorization_Refresh" , "Bearer " + result_token.get("REFRESH_TOKEN")); SecurityContextHolder.getContext().setAuthentication(authentication); filterChain.doFilter(request, response); return; } String username = (String)access_token_jwtClaimsSet.getClaim("username"); List authority = (List) access_token_jwtClaimsSet.getClaim("authority"); List array_authority = authority.stream().map(x -> new SimpleGrantedAuthority(x)).collect(Collectors.toList()); UserDetails userDetails = new User(username , UUID.randomUUID().toString() , array_authority); authentication = new UsernamePasswordAuthenticationToken(userDetails , null , array_authority); SecurityContextHolder.getContext().setAuthentication(authentication); filterChain.doFilter(request, response); } catch (Exception e) { logger.error("==================================="); logger.error(e); logger.error("==================================="); response.setStatus(HttpStatus.UNAUTHORIZED.value()); response.getWriter().write("UnAuthorized User"); } } else { response.setStatus(HttpStatus.UNAUTHORIZED.value()); response.getWriter().write("UnAuthorized User"); } } } 제가 사용하는 데모 프로젝트의 토큰 검증 filter 입니다 일단 이 fiter 로는 제가 원하는 방향으로 움직이긴 합니다 물론 완벽하지는 않을 수 있습니다 데모 프로젝트 (개인프로젝트입니다) 저는 이렇게 filter 로 access_token 과 refresh_token 을 잘 검증했습니다

스프링부트 - 리액트 Jwt 만료 관리

2개의 답변

Q&A 목록