로그인 JWT 토큰 (고민, 현업에서는 어떻게 구현하고 있나요?)

Question

JWT의 stateless 특성을 최대한 살려서 로그인을 구현해보려고 하는데 다른 분들은 어떻게 생각하시는지 궁금합니다!!accessToken은 사용자 인증용으로 사용, refreshToken은 accesstoken 만료 시 재발급용으로 사용하려고 합니다.로그인API, 액세스토큰재발급API, 로그아웃API를 만들예정입니다.흐름은 다음과 같습니다.로그인 시 Response Body에 accessToken 지정, Set-Cookie 헤더를 통해서 refreshToken을 쿠키 지정 (httponly, secure, samesite&#61;strict) 후 응답AccessToken이 만료되는 시점이 오면 클라이언트는 액세스토큰재발급API를 통해서 refreshToken의 만료, 조작 등을 검증 후에 accesstoken 재발급쿠키 만료 시간은 refreshToken 토큰의 만료시간으로 설정되어있습니다.이후 로그아웃이 발생하면 로그아웃API을 통해서 쿠키 만료 및 db에 refreshToken을 블랙리스트로 저장(더 이상 사용 할 수 없도록)쿠키 속성중 httponly이 있기에 클라이언트에서 쿠키에 접근 할 수 없어 서버에서 대신 처리 해주고 있습니다.고민이 되는 부분은 refreshToken을 따로 db에 저장하지 않고 그냥 만료 및 조작 검증만 하고 accesstoken하고 있다는 부분입니다.stateless 특성을 최대한 살렸다고 생각하지만 조금 애매한 부분이 있는 것 같습니다. 현업에 있으신 선배님들은 어떻게 하시는지 궁금하기도 하고 조언을 받고 싶어서 글작성합니다!! 조금은 두서없는 글 이해해주시면 감사하겠습니다.

kkang01 · Answer

현업에서 사용하지는 않지만 궁금한게 있습니다.refreshToken 상태 관리하지 않으면 그냥 필요 없지 않을까요?accessToken 만료시간을 refreshToken 만료시간으로 설정한 것과 다를 게 없어 보이는데..

로그인 JWT 토큰 (고민, 현업에서는 어떻게 구현하고 있나요?)

1개의 답변

Q&A 목록